WSO2 API Managerに権限昇格の脆弱性、修正版あり
WSO2 API ManagerでIdentity ServerをResident Key Managerにしている環境で、セルフ登録したユーザーがシステム用のAPIを使えてしまう脆弱性です。該当する構成か確認し、IS・APIM・コネクターを更新してください。
急ぎ度: 早めに
CVSS v3は9.8で修正版も出ていますが、影響が特定の構成に限られるため、該当する環境は至急ではなく早めの更新が必要です。
関係があるか
WSO2 API Manager 4.x系で、Identity ServerをResident Key Managerとして構成し、データベースを共有している組織が対象です。この構成でなければ、勧告は影響を受けないとしています。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| WSO2 API Manager | 4.1.0、4.2.0、4.3.0、4.4.0、4.5.0、4.6.0 | 最新のU2版 |
| WSO2 API Control Plane | 4.5.0、4.6.0 | 最新のU2版 |
| WSO2 Identity Server Key Manager Connector（apim-km-wso2is） | 1.8.8より前 | 1.8.8 |
| WSO2 Identity Server（Resident Key Managerとして使っている側） | 対象製品としては挙がっていませんが、修正手順で更新が求められています | 最新のU2版 |
確かめ方
- 1WSO2 API ManagerとWSO2 Identity Serverの版を確認し、4.1.0から4.6.0のどれに当たるかを見る。
- 2Identity ServerをResident Key Managerとして構成しているか、APIMとデータベースを共有しているかを、構築した担当者や構成の記録で確認する。
- 3Identity Server側に入っているコネクターの版を確認し、1.8.8より前なら未修正と判断する。
何が起きたか
WSO2 API Managerと組み合わせたIdentity Serverで、セルフ登録しただけの一般ユーザーが、本来は管理用であるAPIを呼び出せてしまう脆弱性です。悪用されると、管理者アカウントの乗っ取りにまで至るおそれがあります。
分類はCWE-862で、認可の確認が足りないタイプです。CVEとしての公表は2026年11月3日ですが、WSO2の勧告ページに書かれた公開日は2026年6月18日です。勧告から時間がたっているので、該当する構成では、まず修正を適用済みかを確認します。
攻撃の流れ
-
1
ユーザー登録
Identity Server上でセルフ登録した一般ユーザーが出発点になる。
-
2
トークン取得
そのユーザーがIdentity Serverのトークンエンドポイントからトークンを得る。
-
3
システムAPI呼出
得たトークンで、API ManagerのSystem REST APIsにアクセスできてしまう。
-
4
管理者乗っ取り
管理者アカウントの乗っ取りにつながるおそれがある。
どう悪用されるか
影響を受けるのは、Identity ServerをResident Key Managerとして構成し、データベースを共有している環境だけです。CVSSのベクターは、ネットワーク経由で、特権も利用者の操作も要らないと評価しています。勧告は、セルフ登録したユーザーがトークンを得てSystem REST APIsに到達できる状況を想定しています。
被害として勧告が挙げているのは、低権限のユーザーがAPI ManagerのSystem REST APIsを呼び出せることです。その結果、管理者アカウントを完全に乗っ取られる可能性があります。機密性・完全性・可用性のいずれも影響が大きいと評価されています。
今すぐやること
-
1
構成と版を確認する
APIMとIdentity Serverの版、Resident Key Managerとしての構成、データベース共有の有無を確認します。あわせてIdentity Server側のdropinsにあるjarを一覧し、コネクターの版を把握します。
ls -l <IS_HOME>/repository/components/dropins | grep -i wso2is -
2
Identity ServerとAPI Managerを最新のU2版に更新する
勧告は、Identity ServerとAPI Managerの両方を最新のU2版に更新するよう案内しています。片方だけでは足りません。
-
3
Identity Server側のコネクターを1.8.8以降に入れ替える
使っているAPIMの版に対応する公式ドキュメントの「Step 4」から、最新のコネクターを入手します。/repository/components/dropinsにあるwso2is.key.manager.core jarとwso2is.notification.event.handlers jarを、コネクター側のdropinsにある新しいjarに置き換えます。次に、/repository/deployment/server/webappsのkeymanager-operations.warとkeymanager-operationsディレクトリを削除し、コネクター側の新しいkeymanager-operations.warを同じ場所に置きます。最後にIdentity Serverを再起動します。
-
4
再起動の時間帯を決め、先にテスト環境で試す
本番のIdentity Serverは再起動が必要です。トークンの発行に影響が出るので、利用の少ない時間帯を選び、手順は先にテスト環境で確認します。
-
5
管理用APIの利用と管理者アカウントを点検する
勧告の日付は6月18日なので、更新までに期間が空いた環境では、System REST APIsへの想定外のアクセスや、見覚えのない管理者アカウント・権限の変更がないかをログで確認します。
背景
WSO2 API Managerは、社内外に提供するAPIの公開・認証・利用管理をまとめて担う製品です。認証の部分は、Identity Serverをキーマネージャーとして組み合わせ、トークンの発行と管理を任せる構成を取れます。今回の脆弱性が起きるのは、この組み合わせでデータベースを共有している場合です。
この構成では、Identity Server側で発行されたトークンが、API Manager側のシステム用APIにまで届きます。そのため、更新はAPIM本体だけでなく、Identity Server側のコネクターまで必要になります。
よくある質問
Q.Identity Serverを使わないAPI Managerなら、更新は不要ですか。
まだ分かっていないこと
- 実際の攻撃で悪用されたかどうかは、勧告に記載がありません。
- 更新前に侵害を受けたかどうかを調べる具体的な方法や、回避策は、勧告に記載がありません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 修正版 |
|---|---|---|---|
| WSO2 | WSO2 API Manager | — | — |
| WSO2 | WSO2 API Control Plane | — | — |
| WSO2 | WSO2 Identity Server Key Manager Connector (apim-km-wso2is) |
1.8.8 未満 |
1.8.8 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
This issue only impacts deployments where WSO2 Identity Server is configured as a Resident Key Manager with database sharing. In such environments, a self-registered user may gain access to the System REST APIs of WSO2 API Manager by obtaining a token from the WSO2 Identity Server token endpoint.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- advisory WSO2「WSO2-2026-5212」
- web security.docs.wso2.com
- web nvd.nist.gov
- web security.docs.wso2.com
- web github.com