OpenAM の通知 WebSocket から未認証でセッショントークン漏えい（CVSS 10.0）

Critical（CVSS 10.0）に分類されるOpen Identity Platform OpenAM 14.0.0〜16.1.3の脆弱性です。**認証基盤（SSO）の OpenAM で、未認証の攻撃者が通知用 WebSocket に接続し、利用中のセッショントークン（iPlanetDirectoryPro）を読み取れる。** 管理者のトークンを盗めばそのまま管理者としてログインした状態になる。 **仕組み。** OpenAM は既定でエージェント通知を有効にしており、セッションの作成・ログアウト・期限切れのたびにセッション識別子そのものをポリシーエージェント向けに配信している。この WebSocket には「エージェントだけが接続できる」検査があるが、古い Liberty ID-FF のエンドポイントが内部転送を検証せずに行うため、その検査を素通りできる。接続した攻撃者は内部用を含む任意のトピックを購読できる。 **評価値と影響版。** CVSS 3.1 は VulnCheck（CNA）の評価で **10.0 Critical**（S:C）。影響は 14.0.0〜16.1.3 で、14.0.0 より前には通知 WebSocket が無いため対象外とされている。開発元は2026年10月22日に 16.1.4 とアドバイザリ GHSA-5c3q-hp86-xjr8 を公開し、CVE は11月8日に NVD へ登録された（分析状況は Received）。 **悪用状況。** CISA KEV には収載されていない。開発元は技術的な詳細と PoC を伏せている。

**OpenAM 16.1.4 へ上げる。** 16.1.4 では WebSocket の検査を内部転送にも適用し、ID-FF エンドポイントからの内部転送をやめ、WebSocket の購読を /agent/ のトピックに限った。 **上げる前に確認すること。** web.xml をカスタマイズしている場合は、16.1.4 が AuthNFilter などのフィルタ定義に追加した dispatcher 要素を自分の web.xml にも足す必要がある。ID-FF のホスト型プロバイダで他ホストへリダイレクトしている環境は、新設の Relay State URL List に宛先を登録する。 **更新までの回避策（開発元のアドバイザリより）。** - /openam/notifications と /openam/ws/* への到達を、プロキシ・ロードバランサ・ファイアウォールで既知のエージェントのホストだけに絞る - エージェントが通知なしで動くなら org.forgerock.openam.notifications.agents.enabled を false にする - ID-FF フェデレーションを使っていなければ /openam/preLogin や /openam/postLogin などの古いエンドポイントを塞ぐ **更新後にやること。** 漏れた可能性のあるセッション、特に管理者のセッションを失効させ、エージェント以外からの WebSocket 接続やスクリプト設定の変更が無いかをログで確かめる。

Open Identity Platform OpenAM 14.0.0〜16.1.3 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-123551）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。