SailPoint IdentityIQ のベアラートークン検証不備

Critical（CVSS 9.8）に分類されるSailPoint IdentityIQの脆弱性です。SailPoint IdentityIQ の OAuth ベアラートークンの検証が不適切で、未認証の攻撃者が保護されているはずの API とデータへアクセスできる。SailPoint の記述は IdentityIQ の全バージョンに影響すると明言しており、版を上げれば免れるという話ではなく、公式の指示に沿った修正の適用が必要になる。NVD の CPE には 8.3 より前の版に加えて、8.3 の patch1 から patch5、8.4 の patch1 から patch4、8.5 の patch1 が個別に列挙されている。参照として登録されているのは SailPoint のセキュリティアドバイザリ一覧（sailpoint.com/security-advisories/）だけで、そこに本 CVE の項目は掲載されているが、修正版・修正パッチの具体的な番号は一次情報から確認できない。したがってこのエントリでは修正版を断定せず、対応は公式で要確認とする。CVSS は評価元で割れており、NVD（Primary、nvd@nist.gov）は 9.8 Critical（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）、CNA の SailPoint は 8.8 High（CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H）である。差は利用者の操作を要するかどうか（UI:N か UI:R）の一点だけで、未認証・ネットワーク経由・三要素すべて High という骨格は共通している。IdentityIQ は社内の権限とアカウントを一手に管理する製品なので、そこへ未認証でアクセスされる影響は単一システムの侵害では終わらない。CISA KEV には未収載で、NVD の vulnStatus は Analyzed である。

全バージョンが対象と書かれているため、版の切り分けで免れる余地は無い。判定は「IdentityIQ を運用しているか」と「その REST / OAuth の面がどこから到達できるか」の二点に集約される。到達性の確認では、IdentityIQ をデプロイしたアプリサーバの前段にあるロードバランサ・リバースプロキシの設定を読み、API 経路とトークン発行の経路が社外や広い社内セグメントから届いていないかを見る。見落としやすいのは、UI は社内限定にしているのに連携用の API だけ外部公開している構成、SaaS 連携やプロビジョニングのために開けた経路、そして本番と同じ経路に載っている検証環境である。修正の適用については、NVD の参照に載っているのが SailPoint のアドバイザリ一覧ページだけで、そこから先の修正パッチの版が一次情報として確認できないため、まず SailPoint のアドバイザリ本文とサポートポータルで、自分が使っている 8.3 / 8.4 / 8.5 系それぞれに対する修正パッチが何かを確認するところから始める必要がある。この確認が終わるまでの間の手当ては、経路を閉じることである。API とトークンエンドポイントの到達元を許可リストで限定する、前段で相互 TLS や追加認証を要求する、使っていない OAuth クライアント登録を削除する、といった措置で未認証到達の余地を減らす。加えて、ベアラートークンの検証に問題があるという性質を踏まえ、既存の OAuth クライアントのシークレットと発行済みトークンを棚卸しし、必要なら再発行する。監査の観点では、認証を通っていないはずの API 呼び出しが成功している記録、想定外の送信元からの API アクセス、IdentityIQ 経由での権限付与・アカウント作成の不審な履歴を洗うと、悪用の有無を後から確認する材料になる。完了条件は、SailPoint 公式が示す修正の適用が全環境で確認できること、API とトークン発行経路の公開範囲が意図した状態であること、OAuth クライアントとトークンの棚卸しが済んでいること、の三点である。KEV 未収載で是正期限は無いが、権限管理の中枢という位置付けから、社内の優先度は NVD の 9.8 に見合う扱いにしておくのが妥当である。

SailPoint IdentityIQ を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-12341）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。