「OpenAM」の認証エージェントに脆弱性 - パッチがリリース

アプリケーションサーバにおいてリクエストに対する認証状態のチェックするエージェント「OpenAM Web Policy Agent（OpenAMコンソーシアム版）」に脆弱性が明らかとなった。

脆弱性情報のポータルサイトであるJVNによれば、「URL」のパース処理に不備があり、パストラバーサルの脆弱性「CVE-2023-22320」が存在するという。

また細工されたURLに対し、アクセスポリシーの判定が正しく行われないおそれがある。共通脆弱性評価システム「CVSSv3」のベーススコアは「7.5」。

同脆弱性は、開発者より周知のためJPCERTコーディネーションセンターに報告があり、調整を実施した。ソースリポジトリにおいてパッチがリリースされており、アップデートが呼びかけられている。

（Security NEXT - 2023/01/12 ）ツイート