JVN（Japan Vulnerability Notes）は、WSO2のAPI Control Planeを含む複数製品に、セッション期限の管理不備に起因する脆弱性があると公表した。認証後のセッションが本来より長く有効な状態となることで、第三者に不正利用されるおそれがある。
脆弱性の詳細
JVN（Japan Vulnerability Notes）によると、WSO2の複数製品にはセッション期限に関する脆弱性が存在する。セッションの有効期限の扱いが不適切な場合、攻撃者が取得したセッションを想定以上の期間利用し、認証済みユーザーとして操作できる可能性がある。これにより、管理画面やAPI運用に関わる機能が不正に利用されるリスクが生じる。
JVN（Japan Vulnerability Notes）は、本件に関するCVE番号およびCVSSスコアをアドバイザリ内で示している。影響範囲の特定は、どの製品・どのバージョンが該当するかを確認し、対策版への更新可否をアドバイザリ記載のCVE情報・CVSS評価に基づいて判断する必要がある。
攻撃ベクタについてJVN（Japan Vulnerability Notes）は、セッションを不正に利用できる条件が成立した場合に影響が顕在化するとしている。たとえば、共有端末の利用、ログイン状態の放置、セッションIDの漏えい、認証情報の使い回しなどが重なると、被害発生の可能性が高まる。悪用された場合、当該ユーザー権限の範囲で設定変更や情報閲覧が行われるおそれがあり、特に管理者権限での利用がある環境では影響が大きくなる。
影響を受ける製品・バージョン
- WSO2 API Control Plane（JVN（Japan Vulnerability Notes）が影響対象として挙げたバージョン）
- 上記以外のWSO2の複数製品（JVN（Japan Vulnerability Notes）が影響対象として列挙した製品・バージョン）
推奨される対策
- 修正版への更新：JVN（Japan Vulnerability Notes）が案内するベンダ提供の修正版（パッチ適用・バージョンアップ）へ速やかに更新する。
- 影響範囲の棚卸し：自社で利用中のWSO2製品名、導入形態（オンプレミス／クラウド）、該当バージョンを確認し、JVN（Japan Vulnerability Notes）の影響対象と照合する。
- セッション管理の運用強化：更新までの間は、管理画面の利用端末を限定し、操作後のログアウト徹底、長時間のログイン維持を避ける運用に切り替える。
- 認証強化：可能な範囲で多要素認証の適用、管理者アカウントの利用最小化、不要アカウントの無効化を実施し、セッション不正利用時の被害を抑える。
- 監視・ログ確認：管理操作や認証イベントのログを確認し、不自然なログイン継続や想定外の操作がないか点検する。
日本の中小企業が今すぐ取るべき行動
- 最優先：該当有無の確認：WSO2製品の利用有無、製品名とバージョン、管理画面の公開範囲（社内のみ／インターネット公開）を整理する。
- 次に：更新計画の即時策定：JVN（Japan Vulnerability Notes）が示す対策版への更新手順を確認し、検証→本番適用の順にスケジュール化する。
- 暫定対応：管理者運用の見直し：管理者アカウントの共有をやめ、作業後のログアウト徹底、権限分離（閲覧用／設定変更用）を行う。
- 点検：ログと端末の衛生管理：管理端末の利用者・保管・リモートアクセス経路を見直し、不要なセッションが残りやすい運用を排除する。
- 周知：利用部門への注意喚起：管理画面操作に関わる担当者へ、ログイン状態の放置をしない、共有端末での作業を避けるといった注意点を共有する。
CSRIセキュリティ専門家の見解
実際のペネトレーションテストでは、侵入後に「セッションが想定より長く残る」構成だと、認証突破よりも早く権限を維持され、設定改変や情報閲覧につながる場面を確認する。多くの中小企業が見落としているのは、パッチ適用だけでなく、管理端末の共有やログアウト不徹底といった運用面がセッション不正利用の成立条件を強める点であり、更新までの暫定運用が重要である。