Payara Serverの管理APIに認証回避の脆弱性、修正版あり
Payara Serverの管理用REST interfaceに、認証なしで管理コマンドを実行される脆弱性が見つかり、修正版が出ました。管理用ポートに社内外から届く環境では、修正版への更新と管理パスワードの確認を急いでください。
同じ発表の脆弱性 2 件
この記事でまとめた分です。発表元の告知には、ほかの脆弱性も載っていることがあります。
- CVE-2026-110003 重大 9.3
- CVE-2026-90908 重大 9.3
急ぎ度: 早めに
CVSS v4は9.3で認証なしにサーバー全体を操作され、修正版も出ていますが、実際の悪用を示す情報は見当たらないため、管理用ポートに届く環境から順に急ぐ段階と見ています。
関係があるか
Payara Serverを動かしている組織が対象です。管理用REST interfaceにネットワーク経由で届き、管理パスワードが空の既定ドメインが残っている環境は、とくに影響を受けやすくなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Payara Server 7系 | 7.0.0以上7.6.0未満 | 7.6.0 |
| Payara Server 7系（Community） | 7.2024.1.Alpha1以上7.2026.11未満 | 7.2026.11 |
| Payara Server 6系 | 6.0.0以上6.44.0未満 | 6.44.0 |
| Payara Server 6系（6.2022.1から6.2025.11まで） | 6.2022.1以上6.2025.11以下 | 修正版の版番号は確認できていません。Azulのリリースノートで確かめてください |
| Payara Server 5系 | 5.20.0以上5.93.0未満 | 5.93.0 |
| Payara Server 5系（5.181系と5.2020.2系） | 5.181以上5.201.2以下、5.2020.2以上5.2022.5以下 | 修正版の版番号は確認できていません。Azulのリリースノートで確かめてください |
| Payara Server 4系 | 4.1.2.191以上4.1.2.191.61未満 | 4.1.2.191.61 |
確かめ方
- 1各サーバーで
asadmin versionを実行し、表示された版を上の表と照らします。 - 2管理用ポート（既定は4848）に、利用者のネットワークや外部から届くかを、ファイアウォールとロードバランサーの設定で確認します。
- 3ドメインごとに、管理者パスワードが空のままになっていないかを確認します。開発用に作った環境や、コンテナーイメージから起動したものも対象です。
何が起きたか
Payara Serverの管理用REST interfaceに、認証していない相手が管理コマンドを実行できる脆弱性があります。管理コマンドが通れば、サーバー全体を掌握されたのと同じ状態になります。
管理操作を遠隔から拒否する確認は、認証トークン用のHTTPヘッダーが付いているだけで、トークンを検証する前に免除されてしまいます。トークンが不正でもパスワード認証に回るだけで、管理パスワードが空の既定ドメインでは、資格情報なしで認証が通ります。弱点の種類はCWE-288です。
CVE-2026-110003として2026年11月12日に公表されました。重要度はcriticalで、CVSS v4は9.3です。Azulは同じ日のリリースノートで、「Remote Admin Authentication Bypass via Unvalidated Auth Token Header」として修正を案内しています。
攻撃の流れ
-
1
管理APIに到達
ネットワーク経由で、Payara Serverの管理用REST interfaceに接続できる位置にいます。
-
2
遠隔拒否を回避
認証トークン用のヘッダーが付いた要求を送ると、遠隔からの管理を拒否する確認が飛ばされます。
-
3
パスワード認証へ
トークンが不正なため、パスワード認証に回ります。
-
4
空パスワードで成功
管理パスワードが空の既定ドメインでは、資格情報なしで認証が通ります。
-
5
管理コマンド実行
任意の管理コマンドを実行でき、サーバー全体を掌握されます。
どう悪用されるか
認証は要りません。管理用REST interfaceにネットワークから届く位置にいる攻撃者が、遠隔から仕掛けられます。利用者の操作も要りません。
成立の鍵は、管理パスワードが空の既定ドメインです。悪用されると、任意の管理コマンドを実行され、サーバーを完全に乗っ取られるのと同じ被害になります。サーバー上のアプリケーションや設定、そこから届く先のシステムにも影響が及びます。
今すぐやること
-
1
使っている版を洗い出す
開発・検証・本番、コンテナーイメージを含めて、Payara Serverの版を一覧にします。管理用ポートが外部や広いネットワークに開いているものから、優先順位を付けます。
asadmin version -
2
修正版に更新する
7系は7.6.0（Communityは7.2026.11）、6系は6.44.0、5系は5.93.0、4系は4.1.2.191.61に更新します。修正版の版番号を確認できていない系列は、Azulのリリースノートで該当する修正版を確かめ、見当たらなければ修正版のある系列への移行を計画します。
-
3
管理パスワードを設定する
空のままのドメインには、更新の前後を問わず管理者パスワードを設定します。この脆弱性の悪用経路は、空パスワードを前提にしています。
-
4
管理用ポートへの到達を絞る
管理用ポートは、管理者のいる限られたネットワークからだけ届くようにします。外部公開や、アプリ利用者と同じ経路に載せている構成は見直します。
-
5
更新前の管理操作を確認する
更新が遅れた環境では、身に覚えのないアプリの配備、設定変更、管理コマンドの実行がないかを、サーバーログとアクセスログで調べます。
すぐ更新できないとき
修正版の適用が本筋です。すぐに更新できないあいだは、管理用ポートへの到達をファイアウォールで限られた管理端末に絞り、管理パスワードが空のドメインにはパスワードを設定します。いずれもAzulが示した回避策ではなく、悪用の条件を減らすためのつなぎです。
背景
Payara Serverは、GlassFishから派生したJakarta EEのアプリケーションサーバーです。管理用REST interfaceやasadminコマンドで、アプリの配備、設定の変更、サーバーの操作ができます。つまり管理者権限を得た相手は、サーバー上で動くアプリを入れ替えたり、設定を書き換えたりできます。
今回の脆弱性に出てくるヘッダー名にGlassFishの名前が残っているのは、この系譜によります。GlassFish系の既定ドメインは、管理パスワードが空のまま作られます。そのため、遠隔からの管理は拒否する前提で運用されてきました。今回の脆弱性は、その拒否の確認が迂回できたことで、空のパスワードが問題になる形です。
よくある質問
Q.管理パスワードを設定すれば、更新しなくてよいですか。
Q.今回の修正版には、ほかのセキュリティ修正も入っていますか。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| Azul PayaraPayara Server |
7.0.0 以上 7.6.0 未満→ 7.6.0 7.2024.1.Alpha1 以上 7.2026.11 未満→ 7.2026.11 6.0.0 以上 6.44.0 未満→ 6.44.0 6.2022.1 〜 6.2025.11→ 記載なし 5.20.0 以上 5.93.0 未満→ 5.93.0 5.181 〜 5.201.2→ 記載なし 5.2020.2 〜 5.2022.5→ 記載なし 4.1.2.191 以上 4.1.2.191.61 未満→ 4.1.2.191.61 |
7.6.0 7.2026.11 6.44.0 記載なし 5.93.0 記載なし 記載なし 4.1.2.191.61 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability in the administration REST interface of Azul Payara allows a remote, unauthenticated attacker to bypass secure-admin remote-access restrictions by supplying an arbitrary value in the X-GlassFish-authToken HTTP header. The header's presence waives the remote-rejection check before the token is validated, and an invalid token falls through to password-based authentication, which succeeds without credentials on default domains configured with an empty administrative password. Successful exploitation grants execution of arbitrary administrative commands, equivalent to complete compromise of the server.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web docs.azul.com
- web docs.azul.com
- web docs.azul.com
- web docs.azul.com
- web docs.azul.com
- web nvd.nist.gov
- web github.com