OpenAM の SAML SP が署名なしアサーションを受理し認証回避（CVSS 9.8）

Critical（CVSS 9.8）に分類されるOpen Identity Platform OpenAM 16.1.3 以前の脆弱性です。**OpenAM が SAML v2.0 のサービスプロバイダ（SP）として動くとき、ECP（PAOS）と HTTP-Artifact のバインディングで署名の無いアサーションを受け入れてしまい、未認証の攻撃者が管理者を含む任意の利用者としてセッションを得られる。** その OpenAM に SSO を任せている他のアプリケーションも乗っ取られる。 **条件。** 開発元のアドバイザリ GHSA-3j2f-qhrc-rjfj によれば、ECP のアサーション受信サービスが SP メタデータに入っていること（既定）、Assertions Signed（WantAssertionsSigned）が無効であること（生成されるメタデータの既定）、SP に暗号鍵が設定されていること（既定ではなく管理者の選択）、の3つがそろうと影響を受ける。同じ版で、artifact 解決サービスが平文の http のときに HTTP-Artifact のアサーションを署名なしで受け入れる欠陥と、リプレイ防止が HTTP-POST にしか効いていなかった欠陥も直された。 **評価値と影響版。** CVSS 3.1 は VulnCheck（CNA）の評価で **9.8 Critical**、CVSS 4.0 は 9.3。影響は 16.1.3 以前（openam-auth-saml2 と openam-federation-library）。開発元は2026年10月22日に 16.1.4 で修正し、CVE は11月8日に NVD へ登録された（分析状況は Received）。CISA KEV には収載されていない。

**OpenAM 16.1.4 へ上げる。** 16.1.4 ではホスト型 SP がすべてのバインディングで署名付きのレスポンスかアサーションを必須にし、アサーションの使い回しを全バインディングで禁止した。 **上げる前に確認すること（互換性）。** 署名なしのアサーションを送ってくる連携先は assertionNotSigned で拒否されるようになる。OpenAM 同士を HTTP-Artifact で既定設定のまま連携している場合は、更新前に SP メタデータ（IdP 側が持つ写しも含む）で WantAssertionsSigned="true" にしておかないと連携が切れる。 **更新までの回避策（開発元のアドバイザリより）。** - すべてのホスト型 SP で Assertions Signed を有効にする（先に、信頼している各 IdP がアサーションに署名していることを確かめる） - ECP を使っていなければ ECP のアサーション受信サービスを外し、リバースプロキシで /Consumer/ECP/ への要求を遮断する - 暗号化アサーションが要らない SP には暗号鍵を設定しない - artifact 解決サービスはすべて https にする **影響を受けたかの確認**は、監査ログで ECP 経由の SAML SSO、とくに特権アカウントのログインを洗う。

Open Identity Platform OpenAM 16.1.3 以前 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-123550）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。