WSO2 API Managerに管理操作を許す脆弱性、修正版あり
WSO2 API ManagerのSystem REST APIsに、権限の低いユーザーが管理操作を実行できる脆弱性があります。CVSS v3は9.4です。該当版を洗い出し、修正版の更新レベルへ上げてください。
急ぎ度: 至急
CVSS v3が9.4のCriticalで、修正版があるため、対象環境では早く更新に着手する段階です。
関係があるか
WSO2 API Managerとその関連製品を運用している組織が対象です。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WSO2 API Manager | 3.1.0、3.2.0、3.2.1、4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0の各系統で、下記の更新レベル未満 | 更新レベル3.1.0は347、3.2.0は450、3.2.1は70、4.0.0は370、4.1.0は233、4.2.0は173、4.3.0は85、4.4.0は49、4.5.0は32（以上） |
| WSO2 API Control Plane | 4.5.0で更新レベル33未満 | 4.5.0.33 |
| WSO2 Universal Gateway、WSO2 Traffic Manager | どちらも4.5.0で更新レベル31未満 | 4.5.0.31 |
| WSO2 Identity Server as Key Manager | 5.10.0で更新レベル367未満 | 5.10.0.367 |
| WSO2 Open Banking AM、WSO2 Open Banking IAM | どちらも2.0.0。AMは更新レベル396未満、IAMは416未満 | AMは2.0.0.396、IAMは2.0.0.416 |
| WSO2 Carbon API Manager Rest API Common Functions | 9.0.174、9.20.74、9.28.116、9.29.120、9.30.67、9.31.86の各系統で、下記の修正版未満 | 9.0.174.538、9.20.74.385、9.28.116.382、9.29.120.204、9.30.67.126、9.31.86.91。9.32.147は影響を受けないとされています |
| WSO2 Carbon API Manager Rest API Utility | 6.6.163、6.7.206、6.7.210の各系統と、9.0.174、9.20.74、9.28.116、9.29.120、9.30.67の各系統 | 6.6.163.159または6.6.163.160、6.7.206.574または6.7.206.576、6.7.210.69または6.7.210.71。9.x系は9.0.174.536、9.20.74.385、9.28.116.380、9.29.120.202、9.30.67.125以降 |
確かめ方
- 1WSO2製品の稼働一覧を作り、製品名と版、WSO2 Updatesで適用している更新レベルを突き合わせます。サブスクリプションを持つ環境は、上の更新レベル以上かどうかが判断の基準です。
- 2System REST APIsにどのネットワークから到達できるかを確認します。API Gatewayから公開しているAPIは、この脆弱性の影響を受けないとされています。
何が起きたか
WSO2 API ManagerのSystem REST APIsで、アクセス制御が正しく働かない脆弱性が公表されました。WSO2の勧告WSO2-2025-4733（2026年1月26日）によると、権限の低いロールのユーザーが、本来は管理者にしか許されない操作を実行できるおそれがあります。CVEの記録は2026年11月に公開され、CVSS v3は9.4、脆弱性の種類はCWE-285（不適切な認可）です。
API ManagerのAPI Gatewayから公開しているAPIは、影響を受けないと説明されています。
同じ製品のCVE-2026-4052は別の勧告（WSO2-2026-5212）の脆弱性で、Identity ServerをResident Key Managerとして使う構成が対象です。
攻撃の流れ
-
1
APIへ到達
低い権限のユーザーが、System REST APIsに接続します。
-
2
認可の不備
アクセス制御が正しく働かず、本来は拒否される要求が通ります。
-
3
管理操作を実行
管理者向けの機能が、権限のないユーザーから呼び出されます。
-
4
不正な操作
許可されていない管理操作が実行され、製品の運用に影響が出ます。
どう悪用されるか
CVE-2025-11969では、WSO2は低い権限のロールを持つユーザーによる悪用と説明しています。CVSSの評価はネットワーク経由で、攻撃の複雑さは低く、利用者の操作は不要です。必要な権限は「なし」と評価されていて、勧告の説明とは食い違いがあります。悪用された場合は、機密性と完全性への影響が大きく、可用性への影響は小さいと評価されています。
悪用が成功すると、管理機能を含む許可されていない操作が行われます。
今すぐやること
-
1
対象製品と版を洗い出す
API Managerだけでなく、API Control Plane、Universal Gateway、Traffic Manager、Identity Server as Key Manager、Open Banking製品も確認します。構成によっては、内部コンポーネントのCarbon API Manager Rest API系の版も対象になります。
-
2
修正版の更新レベルへ上げる
WSO2 Updatesを使えるサブスクリプション契約の環境は、製品ごとに指定された更新レベル以上へ更新します。勧告の日付は2026年1月26日で、更新レベルの表も同じ勧告に載っています。適用済みかどうかを、その表と照らして確認してください。
-
3
管理操作の履歴を見直す
更新が済んだら、System REST APIsを通じた想定外の管理操作がないかを、監査ログとアクセスログで調べます。
すぐ更新できないとき
WSO2の勧告には、修正版の適用以外の回避策は書かれていません。更新に時間がかかる場合のつなぎとして、System REST APIsへ接続できる送信元を管理用のネットワークに絞ることが考えられます。これはベンダーの案内ではなく、修正版の代わりにもなりません。
背景
WSO2 API Managerは、APIの公開・利用申請・アクセス制御をまとめて担う基盤です。利用者向けのAPIはAPI Gatewayを通りますが、System REST APIsは製品自体を管理する側のAPIです。今回の勧告でも、Gatewayから公開しているAPIは影響を受けないとされています。管理側のAPIで権限の確認が抜けると、公開しているAPIの設定や運用に手を出されるおそれがあります。
よくある質問
Q.オープンソース版を使っている場合は、どう対応すればよいですか。
まだ分かっていないこと
- CVE-2025-11969で実行できる管理操作の具体的な範囲は、勧告に説明されていません。
2026年11月6日 訂正：題と本文を修正しました。CVE-2026-4052と同じ発表として1本にまとめていましたが、別々の勧告なので分けました。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| WSO2 | WSO2 API Manager |
3.1.0 以上 3.1.0.347 未満 3.2.0 以上 3.2.0.450 未満 3.2.1 以上 3.2.1.70 未満 4.0.0 以上 4.0.0.370 未満 4.1.0 以上 4.1.0.233 未満 4.2.0 以上 4.2.0.173 未満 ほか 3 件 |
3.1.0.347 3.2.0.450 3.2.1.70 4.0.0.370 4.1.0.233 4.2.0.173 |
| WSO2 | WSO2 Identity Server as Key Manager |
5.10.0 以上 5.10.0.367 未満 |
5.10.0.367 |
| WSO2 | WSO2 Open Banking AM |
2.0.0 以上 2.0.0.396 未満 |
2.0.0.396 |
| WSO2 | WSO2 Open Banking IAM |
2.0.0 以上 2.0.0.416 未満 |
2.0.0.416 |
| WSO2 | WSO2 API Control Plane |
4.5.0 以上 4.5.0.33 未満 |
4.5.0.33 |
| WSO2 | WSO2 Universal Gateway |
4.5.0 以上 4.5.0.31 未満 |
4.5.0.31 |
| WSO2 | WSO2 Traffic Manager |
4.5.0 以上 4.5.0.31 未満 |
4.5.0.31 |
| WSO2 | WSO2 Carbon API Manager Rest API Utility |
6.6.163 以上 6.6.163.159 未満 6.6.163 以上 6.6.163.160 未満 6.7.206 以上 6.7.206.574 未満 6.7.206 以上 6.7.206.576 未満 6.7.210 以上 6.7.210.69 未満 6.7.210 以上 6.7.210.71 未満 ほか 7 件 |
6.6.163.159 6.6.163.160 6.7.206.574 6.7.206.576 6.7.210.69 6.7.210.71 |
| WSO2 | WSO2 Carbon API Manager Rest API Common Functions |
9.0.174 以上 9.0.174.538 未満 9.20.74 以上 9.20.74.385 未満 9.28.116 以上 9.28.116.382 未満 9.29.120 以上 9.29.120.204 未満 9.30.67 以上 9.30.67.126 未満 9.31.86 以上 9.31.86.91 未満 |
9.0.174.538 9.20.74.385 9.28.116.382 9.29.120.204 9.30.67.126 9.31.86.91 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
The System REST APIs do not correctly enforce access control mechanisms, allowing users with lower privilege roles to execute administrative actions that should be restricted. This weakness permits unauthorized operations on the affected product.
Successful exploitation could enable a malicious actor to perform unauthorized administrative operations, including executing administrative functions. APIs exposed through the WSO2 API Manager's API Gateway are not affected by this vulnerability.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory WSO2「WSO2-2025-4733」
- web security.docs.wso2.com
- web nvd.nist.gov
- web security.docs.wso2.com
- web github.com