Critical Okta Access Gateway Flaw Lets Attackers With Admin Access Execute System Commands
2026/10/23 CyberSecurityNews — Okta が公表したのは、アプライアンスの管理コンソールを通じたシステム・コマンド実行を、認証済みの管理者に対して許す可能性がある、Okta Access Gateway に存在する脆弱性に関する情報である。この脆弱性 CVE-2026-115547 は、Okta Access Gateway (OAG) のバージョン 2026.10.2 未満のリリースに影響する。2026年10月22日に公開されたアドバイザリによると、CVSS v3.1 スコアは 9.1 である。この問題は、Admin Console において、特別に細工された設定値が処理される際の、入力値に対する不十分な検証に起因する。
これらの設定値を悪用する、管理者権限を持つ攻撃者は、OAG のサービス・アカウント権限でシステム・コマンドを実行する可能性がある。ただし、今回の公表内容では、未認証の攻撃者による悪用は説明されていない。
この脆弱性は、管理者が入力した設定値が、ゲートウェイ内部の処理機能に渡される部分に存在する。影響を受けるソフトウェアでは、本来は単なる設定データとして扱うべき値が適切に検証されず、細工された入力からシステム・コマンド実行に至る可能性がある。
Okta Access Gateway の脆弱性
Okta は、この脆弱性を、コード生成の不適切な制御を示す CWE-94 と、不適切な入力検証を示す CWE-20 に分類している。
この脆弱性を評価する上で重要なのは、攻撃者が管理者権限を必要とする点にある。つまり攻撃者は、事前に OAG Admin Console に対する管理者アクセス権限を取得する必要がある。
したがって、通常のアプリケーション・アカウントを持っているだけでは、悪用に必要な条件を満たさない。また、今回のアドバイザリでは、この条件を回避できる認証バイパスの存在も示されていない。
悪用に成功した場合には、システム・コマンドは OAG サービス・アカウントの権限で実行されるが、root 権限の取得が確認されたわけではない。
攻撃による被害の程度は、対象となるサービス・アカウントにおける、読み取り／変更／実行に関する操作の範囲に応じて異なる。そのため、実際のアクセス権限を確認することが、リスクを評価する上で重要となる。
公開された CVSS v3.1 の評価ベクターでは、ネットワーク経由で攻撃可能であり、攻撃の複雑さは低く、高い権限が必要で、ユーザー操作は不要とされている。また、スコープは「変更あり」と評価され、機密性／完全性／可用性に対して大きな影響が生じる可能性がある。
Okta Access Gateway のバージョン 2026.10.2 未満を使用している組織は、2026.10.2 以降にアップグレードする必要がある。公開されたアドバイザリでは、修正済みリリースとして 2026.10.2 が指定されており、別の回避策は提示されていない。
最近の Okta は、認可バイパス／SQL インジェクション／蓄積型クロスサイト・スクリプティング (Stored XSS) に対処する、Okta Access Gateway および Auth0 のセキュリティ・アップデートを提供しているが、今回の修正はそれに続くものである。
その一方で、以前報じられた 1Password における Okta 管理者セッションの悪用事例は、特権セッションを保護することの重要性を示している。ただし、その時のインシデントは、今回の脆弱性とは別のものである。
すでに修正されている一連の問題は、悪用条件や修正内容が、今回の脆弱性とは異なる。そのため、以前の Access Gateway 2026.9.1 アップデートを適用していても、今回のアドバイザリで要求される最低限の修正済みバージョンには達していない。
今回のアドバイザリでは、実際に進行中の悪用は報告されておらず、攻撃ペイロードも公開されていない。また、影響を受ける具体的な設定フィールドも特定されていない。ただし、これらの情報が公開されていないことは、脆弱性の悪用が不可能であることを証明するものではない。
管理者にとって必要なことは、管理コンソールにアクセスできるユーザーを確認するとともに、予期しない設定変更が行われていないか調査することである。
セキュリティチームに求められるのは、影響を受けるアプライアンスのアップグレードを優先した上で、今後の詳細情報や追加の対応指針について、Okta のセキュリティ・アドバイザリ・ポータルを継続的に確認することである。
この記事は、アイデンティティ管理基盤である Okta Access Gateway における管理画面を介した不正コマンド実行の危険性について解説するものです。管理用設定処理における入力検査の不足が背景に存在します。影響として、サービス権限配下での任意命令の実行や管理情報の改ざんが生じる恐れがあります。対応策として、特権利用者の権限確認／管理ログの監視／最新修正版への早期更新が求められます。
You must be logged in to post a comment.