WSO2の脆弱性を悪用する攻撃、企業に警告

今年公開されたWSO2の重大な脆弱性が、機密性の高い企業データへのアクセスを狙う攻撃者によって、実際の攻撃で悪用されています。

WSO2は、ハイブリッド環境やマルチクラウド環境全体でAPI、サービス、IDの設計、保護、統合、管理を可能にするオープンソースのミドルウェアプラットフォームです。

同プラットフォームは、銀行、政府機関、通信、物流などの分野で、世界中に約1,000社の企業顧客を抱えています。さらに、オープンソースでの導入やOEM、パートナー経由での採用も含めると、その数は数千に上ります。

エクスポージャー管理企業のWatchTowrは火曜日、WSO2が4月に修正したCVE-2026-5430として追跡されている脆弱性が、悪意ある攻撃で悪用されていると警告しました。

この脆弱性はCVSSスコアが最大値の10となっています。WSO2が5月に発表したアドバイザリによると、攻撃者はこの脆弱性を悪用することで認証を回避し、アカウントを乗っ取ることが可能になります。

WSO2は「サポートされていないアルゴリズムで署名されたトークンが使用された場合、JWT認証が回避され、不正アクセスを許してしまう可能性があります」と説明し、続けて「この脆弱性が悪用されると、不正アクセスにつながる恐れがあり、管理者アカウントの侵害やアカウントの完全な乗っ取りに発展する可能性もあります」と述べています。

影響を受けるのは、API Manager、API Control Plane、Traffic Manager、Universal Gatewayの各製品です。

WatchTowrのプリンシパル脅威インテリジェンス・スペシャリストであるYordan Ganchev氏は、SecurityWeekに対し、同社のハニーポットネットワークが9月13日に最初の悪用試行を検知したと語りました。

Ganchev氏の説明によると、攻撃者は偽造したJWTトークンを使用しており、これによりWatchTowrの研究者たちは攻撃者の狙いを特定することができたといいます。

Ganchev氏は「この偽造トークンによって、すべてのAPIバックエンドのエンドポイントとその認証情報、さらに登録済みのすべてのアプリケーションのコンシューマーキーとシークレットへのアクセスが可能になります」と述べています。「このサービスはそもそも、内部システムに向かうAPIリクエストを傍受するよう設計されているため、通信中の機密データを盗み見て窃取したり、この『Lateral Movement-as-a-Service』とも呼べる製品を通じて内部サービスとやり取りしたりする絶好の機会を攻撃者に与えてしまいます」

さらにGanchev氏は次のように付け加えています。「私たちが観測したのは、誤った製品を標的にした単独の攻撃者でした。しかし、その攻撃者が使用したペイロードを本物の製品で再現してみたところ、実際に機能してしまいました。私たちのハニーポットは幸運にも取り違えられていましたが、実際の被害者システムでも同様の幸運があるとは限りません」

同氏はまた、CVE-2026-5430のCVEレコードが公開されたのは8月上旬になってからであり、技術的な詳細は現時点でも公開されていないようだと指摘しています。それにもかかわらず、WatchTowrはベンダーが公開したパッチをもとに、この脆弱性を容易に再現できたとしています。

「唯一の謎は、なぜ他の誰もがこれほど気づくのに時間がかかったのかということです」とGanchev氏は述べています。