JVNDB-2026-005821

WSO2のWSO2 API Manager等の複数製品におけるスプーフィングによる認証回避に関する脆弱性

フェデレーテッドアイデンティティプロバイダー（IDP）で「サイレント・ジャストインタイム・プロビジョニング」機能が有効になっている場合、フェデレーテッドユーザーがローカルユーザーと同じユーザー名を共有している状況において、アカウントプロビジョニングプロセス中にローカルユーザーストアのユーザー情報が上書きされるリスクがあります。以下のいずれかの前提条件が満たされていない場合は、展開に影響はありません。すべての前提条件が満たされて初めて、悪意のある攻撃者が特定のローカルユーザーアカウントを自分が管理するフェデレーテッドIDPユーザーアカウントに関連付ける可能性があります。展開環境は以下の条件を満たしている必要があります：- サイレントJITプロビジョニングが有効なフェデレーテッド認証用のIDPが構成されていること。悪意のある攻撃者は以下を備えている必要があります：- 以前に使用されていない新規の有効なフェデレーテッドIDPユーザーアカウントを持っていること。- ローカルIDPの有効なユーザーのユーザー名を把握していること。- 対象となるローカルユーザー名と一致するフェデレーテッドIDPのアカウントを有していること。

WSO2

• WSO2 API Manager 4.2.0 以上 4.2.0.108 未満
• WSO2 Identity Server 6.0.0 以上 6.0.0.171 未満
• WSO2 Identity Server 6.1.0 以上 6.1.0.128 未満

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

参考情報を参照して適切な対策を実施してください。

1. スプーフィングによる認証回避(CWE-290) [その他]

1. CVE-2024-1524

1. National Vulnerability Database (NVD) : CVE-2024-1524

• [2026年03月04日]
    掲載