本文へスキップ
ITDセキュリティ対策プラットフォーム
目的から探す
検索
事故・脆弱性13分で読める

CVE-2026-123551 — OpenAMの通知用WebSocketから、未認証でセッショントークンを読み取られる脆弱性の解説と対応策（CVSS 10.0・16.1.4で修正）

CVE-2026-123551は、OpenAM 14.0.0〜16.1.3で、未認証の攻撃者が通知用WebSocketから有効なセッションのトークンを読み取れる脆弱性（CVSS 10.0）。修正版は16.1.4。

本文を読む
重大CVSS10.0#CVE-2026-123551#OpenAM#Open Identity Platform#SSO#セッション乗っ取り#WebSocket
公開日
更新日
最終確認
目次

OpenAM（シングルサインオン〔SSO〕などに使われるアクセス管理の製品）の、深刻度が最大（CVSS 10.0）の脆弱性の解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY
CVE
CVE-2026-123551（GitHub勧告 GHSA-5c3q-hp86-xjr8）
重大度
CVSS v3.1 10.0（Critical）／CVSS v4.0 でも10.0（v4.0 は CVE の記録の値）
種別
セッショントークンの漏えい（CWE-201）。勧告は認証確認の回避（CWE-288）なども挙げている
前提条件
未認証。OpenAMのポートに到達できればよい。勧告によると既定の設定が対象
対象
OpenAM（Open Identity Platform版）14.0.0から16.1.3まで
修正
OpenAM 16.1.4
公開日
勧告：2026年10月22日／CVE：2026年11月8日
悪用状況
勧告に悪用の記載なし。CISA KEV未掲載（11月9日時点）
10.0
CVSS v3.1・v4.0とも
未認証
攻撃者に必要な権限
16.1.4
修正版
未掲載
CISA KEV（11月9日時点）

放置の危険度

勧告によると、認証していない攻撃者に、利用者のセッションのトークン（ログイン状態そのもの）を読み取られ得ます。管理者のセッションを奪われると、設定の乗っ取りや、OpenAMのサービスアカウントでのコマンド実行にまで進み得ると勧告は説明しています。読み取りは受け身で、失敗したログインやロックアウトが記録に残りません。外部に公開しているOpenAMは、特に優先して対応してください。

どんな脆弱性か

OpenAMは、エージェント（各アプリケーションの前に置いて認証を確認する部品）に、セッションの作成・ログアウト・タイムアウト・属性の変更を通知します。勧告によると、この通知にはセッションの識別子が全文のまま含まれ、持っているだけで本人として扱われる資格情報になります。既定の設定でエージェント通知は有効です。

問題は2つが重なっていることです。通知用WebSocketが「エージェントだけが接続できる」としている確認を、レガシーのLiberty ID-FF（古い認証連携の仕組み）のエンドポイント経由で、認証情報なしに回避できます。回避すると、接続した側は内部用を含む任意のトピックを購読できます。当サイトは具体的な悪用方法を記載しません。

更新前（14.0.0〜16.1.3）

  • エージェント以外でも通知用WebSocketにつなげる
  • 通知にセッションの識別子が含まれる
  • 読み取りが受け身で、記録に痕跡が残らない

更新後（16.1.4）の変更点

  • セキュリティフィルターが内部の振り分けにも掛かる
  • ID-FFのエンドポイントは、内部のエンドポイントへ転送しない
  • WebSocketはエージェント用のトピックだけを購読できる

勧告は、同じレガシーのID-FFのエンドポイントが、ログイン・連携・ログアウトのあとに、リクエストに含まれる未検証のアドレスへブラウザーを移動させる問題にも触れています。URLの書き換えを有効にしているとき、そのアドレスにセッションのトークンが付くと説明しています。16.1.4で、移動先は提供者ごとの許可リストにあるものだけに限られました。

影響範囲

項目内容
製品OpenAM（Open Identity Platform版）
影響を受ける版14.0.0から16.1.3まで（CVEの記録の表記では「14.0.0以上16.1.4未満」）
修正版16.1.4
対象外14.0.0より前の版（通知用のWebSocketがない）
対象のパッケージorg.openidentityplatform.openam の openam-server-only、openam-federation-library、openam-notifications-websocket
  • 勧告によると、既定の設定が対象です。
  • 日本の派生版・商用サポート版は、提供元が別に公表する版で確認が必要です。使っている版が対象かどうかは、提供元に確認してください。

自分が対象か確かめる方法

1

OpenAMの版を確認する

管理コンソールが表示する版、またはデプロイしているパッケージ（WAR・JARなど）の版を確認します。14.0.0から16.1.3なら対象です。複数の環境（本番・検証・開発）があるなら、1つずつ確認します（資産棚卸しチェックリスト）。

2

外から到達できるかを確認する

OpenAMのポートに、インターネットなど信頼できない範囲から到達できるかを確認します。勧告は、攻撃者に必要なのはOpenAMのポートに到達できることだけだとしています。

3

エージェント通知を使っているかを確認する

エージェント通知の設定（org.forgerock.openam.notifications.agents.enabled）を確認します。勧告によると既定は有効です。

今日やること

1

16.1.4へ更新する（最優先）

OpenAMを16.1.4へ更新します。更新前に、勧告の注意点を確認してください。ID-FFでログイン・連携・ログアウトのあとに別のホストへ移動させている環境は、提供者ごとの「Relay State URL List」を設定する必要があります。web.xml を独自に変更している環境は、16.1.4で加わる dispatcher の記述を足す必要があります。

2

更新できるまでの間は、入口を絞る

勧告の回避策は次のとおりです。更新の代わりにはなりません。
・プロキシ・ロードバランサー・ファイアウォールで、/openam/notifications と /openam/ws/* へのアクセスを、既知のエージェントのホストだけに絞る。
・エージェントが通知に依存していなければ、エージェント通知を無効にする（org.forgerock.openam.notifications.agents.enabled を false）。
・ID-FFによる連携を使っていなければ、/openam/preLogin や /openam/postLogin を含むレガシーのLiberty ID-FFのエンドポイントを遮断する。

3

更新後に、既存のセッションを失効させる

勧告は、露出したセッションを失効させ直し、現在の管理者・利用者のセッションを露出した可能性のあるものとして扱うよう求めています。更新後に、管理者を含む全員を再ログインさせてください。当サイトの補足として、長期間ログインしたままの端末や、連携先のアプリケーション側のセッションも見直しの対象に含めてください。進め方は 脆弱性対応の実務手順 にまとめています。

4

ログと設定変更を点検する

勧告は、予期しないWebSocket接続、セッションに関するトピックの購読、スクリプト設定の変更を監視するよう挙げています。更新前の期間について、通知用のエンドポイントへのアクセス元と、管理者による設定変更の履歴を確認します。読み取りだけなら失敗したログインは残らないため、見つからなくても安心はできません。

5

スクリプトの実行環境を固める

勧告は、スクリプトの実行環境（サンドボックス）を有効のままにし、スクリプト設定を変更できる人を絞り、コンテナーをOSの隔離機能のもとで動かすよう挙げています。管理者のセッションが奪われた場合の被害を小さくする対策です。

悪用状況

  • 勧告に、悪用を確認したという記載はありません。技術的な詳細と検証コードは、運用者が更新する時間を確保するために公開していないとされています。
  • CISAのKEV（悪用が確認された脆弱性の一覧。版 2026.11.06）には、2026年11月9日時点で載っていません。
  • NVDの記録は11月8日に登録されたばかりで、状態は Received（未分析）です。

当サイトの視点：点数の高さより、SSOの中核であることと痕跡が残りにくいことを重く見る

KEVに載っておらず、悪用の報告もないので、点数だけなら「様子を見る」という判断もあり得ます。それでも当サイトは、OpenAMを外部に公開しているなら今週中の対応を勧めます。理由は2つあります。

1つ目に、SSOの中核が奪われると、連携しているすべてのアプリケーションに同じ乗っ取りが広がります。2つ目に、勧告が説明するとおり、読み取りは記録に痕跡を残しにくい手口です。侵入の有無を後から確かめにくいので、確かめられない前提で、更新とセッションの失効をセットで行うのが堅実です。多要素認証はログイン時の確認を強くしますが、すでに発行されたセッションのトークンを使われる場合は防げない点も押さえてください（多要素認証ガイド）。

出典

最終確認：2026年11月9日。

次に読む

よくある質問

QCVE-2026-123551とは何ですか？
A

Open Identity PlatformのOpenAMの脆弱性です。勧告によると、通知用のWebSocketの認証確認を認証情報なしで回避でき、そこに流れる有効なセッションのトークンを未認証の攻撃者が読み取れます。トークンはなりすましに使えるため、一般利用者と管理者のセッションを乗っ取られるおそれがあります。CVSS v3.1は10.0です。

Qどの版が対象で、修正版は？
A

OpenAM 14.0.0から16.1.3までが対象で、修正版は16.1.4です。14.0.0より前の版には、通知用のWebSocketがありません。影響を受けるパッケージとして、openam-server-only、openam-federation-library、openam-notifications-websocketが挙がっています。

Q更新できない間の回避策はありますか？
A

勧告に回避策があります。プロキシ・ロードバランサー・ファイアウォールで、/openam/notifications と /openam/ws/* へのアクセスを既知のエージェントのホストだけに絞る。エージェントが通知に依存しないなら、エージェント通知の設定を無効にする。ID-FFを使っていないなら、レガシーのLiberty ID-FFのエンドポイントを遮断する。いずれも更新の代わりにはなりません。

Q更新したら、それで終わりですか？
A

いいえ。勧告は、現在の管理者・利用者のセッションを露出した可能性のあるものとして扱い、露出したセッションを失効させ直すよう求めています。更新前に読み取られたトークンは更新後も有効なままのおそれがあるため、更新後にセッションを再発行（再ログイン）させてください。

Qすでに悪用されていますか？
A

勧告には、悪用を確認したという記載がありません。勧告は、運用者が更新する時間を確保するため、技術的な詳細と検証コードは公開していないとしています。CISAのKEVにも、2026年11月9日時点で載っていません。ただし、読み取りは受け身で行われ、失敗したログインやロックアウトが記録に残らないと勧告は説明しているため、「ログに痕跡がない」ことは安全の根拠になりません。

Q日本の派生版（商用サポート版など）を使っている場合は？
A

日本で提供されている派生版や商用サポート版は、提供元が別の版番号で修正を出すことがあります。派生版や商用サポート版を使う場合は、提供元の情報を確認してください。