Advanced Authentication Serverに認証回避の脆弱性
OpenTextの多要素認証製品Advanced Authentication Serverに、ログオンの手順を飛ばされる脆弱性が見つかりました。6.4系・6.5系・6.6系の一部の版が対象で、ベンダーは告知ページを出しています。該当する組織は、まず版を確認し、更新の段取りを組んでください。
急ぎ度: 早めに
CVSS v4が9.2で、ネットワークから認証なしで悪用できる条件が揃っており、ベンダーの告知ページも出ているため、早めの更新が妥当です。
関係があるか
Advanced Authentication Serverを使い、社内システムやリモート接続の多要素認証を任せている組織が対象です。認証サーバーがネットワークの広い範囲から届く構成ほど、影響は大きくなります。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| OpenText Advanced Authentication Server 6.4系 | 6.4.0.0から6.4.3.8まで | ベンダーが6.4.3.9のセキュリティ改善ページを公開しています。修正版かどうかはベンダーの告知で確認してください。 |
| OpenText Advanced Authentication Server 6.5系 | 6.5.0.0から6.5.0.10まで | ベンダーが6.5.0.11のセキュリティ改善ページを公開しています。修正版かどうかはベンダーの告知で確認してください。 |
| OpenText Advanced Authentication Server 6.6系 | 6.6.0.0から6.6.1.0まで | 26.3.1向けのセキュリティ改善ページが公開されています。修正版の版番号はベンダーの告知で確認してください。 |
確かめ方
- 1Advanced Authentication Serverの管理画面か、導入時の構成台帳で、稼働中の全サーバーの版を確認し、上の3つの範囲に入るか照合します。
- 2複数台構成や検証環境、災害対策用の待機系にも同じ製品が入っていないかを洗い出します。
- 3認証サーバーに、インターネットや社外の接続元から届くかどうかを、ネットワーク担当者と一緒にファイアウォールの設定で確認します。
何が起きたか
Advanced Authentication Serverで、ログオンの途中段階を飛ばしてアクセスできてしまう脆弱性が見つかりました。本来はアクセス制御で止まるはずの機能に、認証を終えていない相手が届いてしまいます。
ベンダーの分類では、信頼できるデータに、信頼できない余分なデータが混ざったまま受け入れられることが原因です。原題には「completed-methods list」とあり、完了した認証方式の一覧を、攻撃者が操作できるデータのまま信頼してしまう点が問題の中心とみられます。
たとえるなら、受付で「検温は済んでいます」という来訪者本人の申告だけを信じて通してしまうようなものです。本来は、受付の側が記録した結果で判断しなければなりません。
CWEはCWE-349です。
攻撃の流れ
-
1
サーバーに到達
ネットワーク経由で認証サーバーの受付口に接続します。
-
2
進行状況を偽る
完了した認証方式の一覧に、攻撃者が操作したデータを混ぜます。
-
3
サーバーが誤判断
未完了の認証手順を、完了済みと受け取ります。
-
4
制限を回避
アクセス制御で守られているはずの機能に届きます。
どう悪用されるか
ネットワークから攻撃でき、事前のログインは要りません。利用者に何かを操作させる必要もなく、攻撃の複雑さは低いと評価されています。
CVSS v4のベクターでは、認証サーバー自体の機密性と完全性への影響が高く、可用性への影響はありません。この認証サーバーを頼りにしている接続先にも、機密性と完全性の高い影響が及ぶと見積もられています。
多要素認証の判定が迂回されると、保護されているはずのシステムに、正規の利用者として入られるおそれがあります。
今すぐやること
-
1
稼働中の版を洗い出す
本番・検証・待機系のすべてで版を確認し、6.4.0.0から6.4.3.8、6.5.0.0から6.5.0.10、6.6.0.0から6.6.1.0のいずれかに当たるものを一覧にします。
-
2
修正版を確認して更新を計画する
ベンダーの告知ページで、使っている系統ごとの修正版を確認します。認証基盤は止めにくいため、更新日を先に決め、利用者への影響と切り戻し手順を用意します。
-
3
修正版に更新する
外部から届く構成のサーバー、利用者数の多いサーバーから順に更新します。更新後は管理画面で版を確認し、通常のログオンが成功することを確かめます。
-
4
更新前後の認証ログを見直す
多要素認証の手順を踏んでいないのに成功しているログオンがないか、心当たりのない接続元からの成功がないかを確認します。不審な記録があれば、該当アカウントの利用状況を調べます。
すぐ更新できないとき
すぐに更新できないときは、認証サーバーに接続できる範囲を狭めます。たとえば、社内ネットワークやVPN経由の接続元、認証を依頼する側のサーバーだけに、ファイアウォールで限定します。この方法はあくまで暫定で、脆弱性そのものは残ります。
背景
Advanced Authentication Serverは、パスワードに加えてワンタイムパスワードやスマートフォンでの承認といった要素を確認し、社内システムへのログオンに多要素認証を足すための製品です。旧Micro Focusの製品で、今はOpenTextが提供しています。ベンダーの告知がdocs.microfocus.comに置かれているのは、その経緯によるものです。
この製品が破られると、守るべき相手が個々のアプリではなく、認証の判定そのものになります。判定に使う情報を、サーバーが自分で管理せず、外から来たデータに頼ると、今回のように手順を飛ばせる余地が生まれます。認証基盤は多くのシステムの入口をまとめて担うため、一つの不具合の影響が接続先に広がりやすい点も、この種の製品に固有の事情です。
よくある質問
Q.一覧にない版（6.3系以前など）は安全ですか。
Q.更新後に、パスワードや設定を作り直す必要はありますか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは公表されていません。攻撃コードが出回っているかどうかも分かっていません。
- 6.4系・6.5系・6.6系それぞれの修正版の版番号と、回避策の有無は、ベンダーの告知ページで確認する必要があります。
- どの認証の設定や構成が今回の問題の対象になるかは、公表された範囲では分かっていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| OpenText | Advanced Authentication Server |
6.4.0.0 〜 6.4.3.8 6.5.0.0 〜 6.5.0.10 6.6.0.0 〜 6.6.1.0 |
— — — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
Acceptance of extraneous untrusted data with trusted data vulnerability in OpenText Advanced Authentication Server allows Accessing Functionality Not Properly Constrained by ACLs.
This issue affects Advanced Authentication Server: from 6.4.0.0 through 6.4.3.8, from 6.5.0.0 through 6.5.0.10, and from 6.6.0.0 through 6.6.1.0.
出典: CVE.org (CVE Program・cvelistV5) NVD