WSO2 Identity Server における不適切なトークン無効化は、アカウントロック後もアクセスを許可します

CVE-2025-12624は、WSO2 Identity Serverにおいて、ユーザーアカウントがロックされた際に、アクティブなアクセス トークンが取り消しまたは無効化されないという脆弱性です。つまり、アカウントがロックされても、以前に発行された有効なアクセス トークンが引き続き使用可能になり、ロックされたユーザーアカウントが保護されたリソースにアクセスし続けることができます。この取り消し強制の失敗は、アクセス制御ポリシーを回避するため、重大なセキュリティギャップを生み出します。攻撃者はこの脆弱性を悪用して、ユーザーをロックした後でも、機密システムやデータへのアクセスを維持する可能性があります。

Organizations heavily reliant on WSO2 Identity Server for authentication and authorization are at risk. This includes those with legacy configurations or deployments where access tokens have long expiration times. Shared hosting environments utilizing WSO2 Identity Server are also particularly vulnerable, as compromised accounts on one instance could potentially impact other tenants.

• java / server:

# Check for WSO2 Identity Server version
java -version
# Monitor logs for unusual access token activity related to locked accounts
grep -i 'access token' /path/to/wso2/identity-server/logs/*.log

• generic web:

# Check for exposed token endpoints
curl -I https://your-wso2-identity-server/token

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2025-11-03
2. 公開日2026-04-16
3. EPSS 更新日2026-04-23

CVE-2025-12624の主な軽減策は、WSO2 Identity Serverをバージョン5.2.0.35以降にアップグレードすることです。このバージョンには、この脆弱性の修正が含まれており、ユーザーアカウントがロックされた場合にアクセス トークンが正しく取り消しまたは無効化されることが保証されます。アップグレード中に、不正アクセスリスクを最小限に抑えるために、既存のすべてのアクセス トークンを取り消すことをお勧めします。さらに、アカウントロックポリシーをレビューおよび強化して、効果的に適用されていることを確認してください。監査ログの継続的な監視は、疑わしいアクティビティの検出に役立ちます。