JVNDB-2026-023529

WSO2のWSO2 API Manager等の複数製品における証明書有効期限の不適切な検証に関する脆弱性

フェデレーテッド認証の実装におけるサイレントJust-In-Time（JIT）プロビジョニング機能は、フェデレーテッドユーザーがローカルユーザーと同じユーザー名を共有している場合に、アカウント作成時にユーザー役割を適切に分離できません。そのため、プロビジョニングプロセスがローカルユーザーの既存の役割をフェデレーテッドユーザーに割り当てられた役割で上書きしてしまう可能性があります。悪用するには、サイレントJITプロビジョニングが有効なフェデレーテッドアイデンティティプロバイダー（IDP）と、攻撃者がローカルユーザーのユーザー名を知っている必要があります。これらの条件が満たされると、悪意のある人物がJITプロビジョニングプロセスを利用し、ローカルユーザーの役割を変更できるようになります。ただし、上書きされる役割はフェデレーテッドIDP内で定義されたもので制限されており、通常は明示的にフェデレーテッドIDP管理者によって設定されない限り、最小限のアクセス権が付与されます。

WSO2

• Identity Server as Key Manager 5.10.0 以上 5.10.0.280 未満
• Identity Server as Key Manager 5.9.0 以上 5.9.0.148 未満
• WSO2 API Manager 3.0.0 以上 3.0.0.153 未満
• WSO2 API Manager 3.1.0 以上 3.1.0.267 未満
• WSO2 API Manager 3.2.0 以上 3.2.0.351 未満
• WSO2 API Manager 4.0.0 以上 4.0.0.269 未満
• WSO2 API Manager 4.1.0 以上 4.1.0.169 未満
• WSO2 Identity Server 5.10.0 以上 5.10.0.284 未満
• WSO2 Identity Server 5.11.0 以上 5.11.0.321 未満
• WSO2 Identity Server 5.8.0 以上 5.8.0.101 未満
• WSO2 Identity Server 5.9.0 以上 5.9.0.138 未満
• WSO2 Open Banking AM 2.0.0 以上 2.0.0.313 未満
• WSO2 Open Banking IAM 2.0.0 以上 2.0.0.333 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

WSO2

• Security Announcements : Security Advisory WSO2-2024-3179/CVE-2024-1248

1. 証明書有効期限の不適切な検証(CWE-298) [その他]

1. CVE-2024-1248

1. National Vulnerability Database (NVD) : CVE-2024-1248

• [2026年07月13日]
    掲載