OpenAM の自己登録で管理者グループに入り込める権限昇格（CVSS 9.8）

Critical（CVSS 9.8）に分類されるOpen Identity Platform OpenAM 16.1.3 以前の脆弱性です。**OpenAM の利用者の自己登録が、登録時に設定してよい属性の一覧（Valid Creation Attributes）を守らず、匿名の攻撃者がグループ所属などの制限された属性を指定してアカウントを作れる。** 管理者グループに入れば OpenAM 全体の管理権限を握られる。 **仕組みと条件。** 開発元のアドバイザリ GHSA-jv8f-m88g-h6mm によれば、サーバーは自分の管理者権限で新規アカウントを作るため、許可されていない値もそのまま書き込まれる。古い自己登録 REST エンドポイント（属性の制限が無い）と現行の User Self-Service（グループ所属の制限が無い）の両方が該当する。**影響を受けるのは自己登録を有効にしたレルムだけ**で、自己登録は既定では無効。攻撃者に要るのは、自分が受け取れるメールアドレスで登録を完了させることだけである。 **評価値と影響版。** CVSS 3.1 は VulnCheck（CNA）の評価で **9.8 Critical**、CVSS 4.0 は 9.3。影響は 16.1.3 以前（openam-core-rest）。開発元は2026年10月22日に 16.1.4 で修正し、CVE は11月8日に NVD へ登録された（分析状況は Received）。CISA KEV には収載されていない。

**OpenAM 16.1.4 へ上げる。** 16.1.4 はすべての登録経路で Valid Creation Attributes（グループ所属を含む）を強制し、作れるのを利用者アカウントだけに限った。 **上げる前に確認すること（互換性）。** 一覧に無い属性を含む登録要求は拒否されるようになる。古い REST エンドポイントは以前は一覧を見ていなかったので、追加のプロフィール項目を送るフォームやクライアントがあれば、その属性を先に一覧へ加える。一覧をカスタマイズしている場合も mail は残す。 **更新までの回避策（開発元のアドバイザリより）。** - 自己登録が要らないレルムでは無効にする（User Self-Service の User Registration と、Self-Registration for Users・Legacy Self-Service REST Endpoint の両方を確認する） - 有効のままにするなら古い REST エンドポイントを無効にし、リバースプロキシでグループ所属や一覧外の属性を指定する要求を拒否する **影響を受けたかの確認**は、自己登録で作られたアカウントのグループ所属（とくに管理者グループ）を見直し、心当たりの無いものを外す。今後も新規アカウントの作成と特権グループの変更を監視する。

Open Identity Platform OpenAM 16.1.3 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-123549）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。