1. ホーム
  2. セキュリティ
  3. セキュリティアドバイザリー一覧
  4. CVE-2026-121825
公開日: 2026年 11月 09日 / 最終更新日: 2026年 11月 09日
深刻度: 警告
CVSS スコア: 5.1 (CVSS v4.0)
対象製品: OpenAM 14.0.5 or earlier

概要

OpenAM (OpenAMコンソーシアム版) には、Liberty ID-FF サービスプロバイダーのシングルサインオン処理にオープンリダイレクトの脆弱性が存在します。

/preLogin エンドポイントの goto パラメータが、検証されないままシングルサインオン後のリダイレクト先として使用されます。

影響を受けるのは、Liberty ID-FF のホストサービスプロバイダーを設定している環境のみです。 Liberty ID-FF は、デフォルトでは設定されていません。

想定される影響

細工された URL にアクセスしたユーザーが、アイデンティティプロバイダーでシングルサインオンを完了すると、 任意のウェブサイトにリダイレクトされる可能性があります。 結果として、フィッシングなどの被害にあう可能性があります。

対策

OpenAM コンソーシアムにより、脆弱性に対応した OpenAM 14.0.6 が公開されています。 公開された OpenAM バージョンにアップデートをしてください。

なお、OpenAM 14.0.6 では、旧来の Liberty ID-FF エンドポイントが無効化されています。

回避策

Liberty ID-FF を使用していない場合は、WEB-INF/web.xml から Liberty ID-FF の servlet マッピング (/preLogin、/IntersiteTransferService、/AssertionConsumerService/* など) を削除するか、 リバースプロキシや WAF でこれらのエンドポイントへのアクセスを遮断してください。

参考

謝辞

この脆弱性は Arittro Sarkar 氏により報告されました。