「OpenAM」に深刻な脆弱性 - アップデートを公開

「OpenAM」に複数の脆弱性が明らかとなった。リモートよりコードを実行されるおそれがある深刻な脆弱性も判明しており、脆弱性を修正したセキュリティアップデートが提供されている。

開発チームでは現地時間2026年7月20日にセキュリティアップデートとなる「OpenAM 16.1.2」を公開。依存関係にあるサードパーティ製ソフトウェアの脆弱性を含め、あわせて18件の脆弱性に対処した。

「CVE-2026-62379」は、リモートからの認証に用いるエンドポイントに確認された脆弱性。「XML」で指定された任意のJavaクラスを検証することなくロード、インスタンス化するため、認証を必要とすることなくサーバにおいてコードが実行されるおそれがある。

一方「CVE-2026-62263」はJavaのデシリアライズ処理に起因する脆弱性。認証にあたりフィルタがオブジェクトを適切に制限せず、認証を必要とすることなくコードを実行される可能性がある。

GitHubでは「CVE-2026-62379」について共通脆弱性評価システム「CVSSv3.1」のベーススコアを「9.8」とした。「CVE-2026-62263」は「CVSSv4.0」による評価となるが「9.2」としており、重要度はいずれも4段階中もっとも高い「クリティカル（Critical）」としている。

さらに認可同意ページにおけるクロスサイトスクリプティング（XSS）の脆弱性「CVE-2026-62280」を修正。くわえて「Node.js」向けコンポーネントをはじめ、「js-yaml」「websocket-driver」など依存関係にあるソフトウェアの脆弱性に対応した。今回のアップデートで修正された脆弱性は以下のとおり。

CVE-2026-45736
CVE-2026-48779
CVE-2026-49982
CVE-2026-53550
CVE-2026-54466
CVE-2026-54490
CVE-2026-61787
CVE-2026-62261
CVE-2026-62263
CVE-2026-62280
CVE-2026-62379
CVE-2026-63463
CVE-2026-63467
CVE-2026-63468
CVE-2026-63484
CVE-2026-63485
CVE-2026-63487
CVE-2026-63488

（Security NEXT - 2026/07/27 ）ツイート

「OpenAM」に深刻な脆弱性 - アップデートを公開

関連リンク

PR

関連記事