CVE-2026-123549

🆕 New CVEs OpenAM: 3 critical CVEs Worst: session token disclosure in notification WebSocket (CVE-2026-123551) Patch → 16.1.4 https://cve.now/CVE-2026-123551?release=CVE-2026-123549,CVE-2026-123550&utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=rollup

【11/8 昼】CVE・脆弱性ニュースまとめ ■国内 新たに対象となるものはありませんでした ■海外 ① OpenIdentityPlatform「OpenAM」：セッショントークンの漏えいやSAML認証のすり抜けなど重大な脆弱性3件、16.1.4で修正（CVE-2026-123551ほか、CVSS v3.1 最大10.0） アクセス管理ソフト「OpenAM」に、重大な脆弱性が3件まとめて11月8日に公表されました。通知用WebSocketから有効なセッショントークンをログインなしで読み取られ、利用者や管理者のセッションを乗っ取られる問題（CVE-2026-123551、CVSS v3.1 10.0）では、エージェント限定の確認を、旧来のLiberty ID-FFの内部転送で回避できるとされています。ほかに、署名のないSAMLアサーションを受け入れて任意の利用者としてログインされてしまう問題（CVE-2026-123550、CVSS v3.1 9.8、WantAssertionsSignedが無効な場合）と、自己登録で設定できる属性のリスト（Valid Creation Attributes）が強制されず、匿名の攻撃者がリスト外の属性を設定できてしまう問題（CVE-2026-123549、CVSS v3.1 9.8）があります。対象は、セッショントークンの問題が14.0.0から16.1.4未満、その他は16.1.4未満で、修正版は16.1.4です。現時点で実際の悪用の報告は確認できていませんが、シングルサインオンの基盤に使っている環境は更新を急いでください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123551 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123550 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123549 出典：StackFlag https://stackflag.com/vulnerabilities/cve-2026-123551-openam 出典：StackFlag https://stackflag.com/vulnerabilities/cve-2026-123550-openam ② imgproxy「imgproxy」：ICO読み込み処理の整数オーバーフローでヒープを壊され、コードを実行されうる脆弱性、4.0.16で修正（CVE-2026-123614、CVSS v3.1 9.8） 画像処理プロキシ「imgproxy」のICO読み込み処理に整数オーバーフローがあり、CVEとして11月8日に公表されました。ICOファイルが示すデータサイズにヘッダー分の長さを足す計算があふれて確保する領域が極端に小さくなり、その後の読み込みでヒープバッファオーバーフローを引き起こし、細工した画像を処理させることでプロセスを異常終了させられたり、コードを実行されたりするおそれがあります。発見者の検証ではヒープの破壊と遠隔からのサービス拒否が確認されており、公式アドバイザリはコード実行の可能性も挙げています。対象は4.0.0から4.0.15までで、修正版は4.0.16です。現時点で実際の悪用の報告は確認できていませんが、外部の画像を処理させている環境は更新を行ってください。 出典：CVE記録 https://www.cve.org/CVERecord?id=CVE-2026-123614 出典：imgproxy https://github.com/imgproxy/imgproxy/security/advisories/GHSA-hff9-5pqw-6w9f ■注意点 ・OpenAM（CVE-2026-123551ほか）は、CVSS 10.0のセッショントークン漏えいを含む3件が同時に公表されました。16.1.4への更新とあわせて、SAMLで署名付きアサーションを必須にする設定になっているかも確認してください。 ・imgproxy（CVE-2026-123614）は、細工したICO画像を処理させるだけでヒープを壊される問題です。4.0.16への更新を行ってください。 #脆弱性 #CVE #サイバーセキュリティ

OpenAM の自己登録機能から管理者グループに入り込める CVE-2026-123549（CVSS 9.8）を追加しました。自己登録を有効にしている環境は早めの更新を。 https://cve.autoarticles.net/cve/CVE-2026-123549

🆕 New CVE: CVE-2026-123549 (CVSS 9.8, Enclave score 6/10) OpenIdentityPlatform OpenAM · Privilege escalation Remote, no login needed. OpenAM before 16.1.4 fails to enforce the Valid Creation Attributes list during self-registration, allowing anonymous… https://app.enclave.ai/threat-feed/CVE-2026-123549