--- title: "WSO2 API Manager の System REST API に、自己登録ユーザーがアクセスできる脆弱性（CVE-2026-4052）: Identity Server を Resident Key Manager にした構成が対象" url: https://n-t-p.io/worldsecurity/articles/wso2-api-manager-resident-key-manager-self-registered-user-system-rest-api-cve-2026-4052 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月3日 updated: 2026年11月3日 severity: 高 cve: CVE-2026-4052 --- # WSO2 API Manager の System REST API に、自己登録ユーザーがアクセスできる脆弱性（CVE-2026-4052）: Identity Server を Resident Key Manager にした構成が対象 > **TL;DR:** WSO2 API Manager の System REST API に、自己登録しただけのユーザーがアクセスできる脆弱性（CVE-2026-4052、採番元の CVSS v3.1 9.8）。Identity Server を Resident Key Manager にしてデータベースを共有する構成だけが対象。NVD は分析前、KEV 掲載なし。勧告 WSO2-2026-5212 で修正版と緩和策を確認する。 **要点** - CVE-2026-4052: 自己登録ユーザーが Identity Server のトークンで API Manager の System REST API にアクセスできる（CWE-862） - 対象は Identity Server を Resident Key Manager とし、データベースを共有する構成のみ。API Manager 4.1.0〜4.6.0 などが該当 - CVSS v3.1 9.8 は採番元（WSO2）の評価。NVD は Received、EPSS 未算出、KEV 掲載なし - 修正版の版番号と操作の範囲は未確認。勧告 WSO2-2026-5212 を確認する WSO2 API Manager などに、アクセス制御の不備（CWE-862）による脆弱性（CVE-2026-4052）が公表されました。WSO2 Identity Server を「Resident Key Manager」として、データベースを共有する構成にしている環境だけが対象です。この構成では、自己登録しただけのユーザーが Identity Server のトークンエンドポイントでトークンを取得し、API Manager の System REST API（管理用の API）にアクセスできるおそれがあります。CVE を採番した WSO2 による CVSS v3.1 は 9.8（Critical）です。2026-11-03 時点で NVD の状態は Received（NVD の分析は未了）、CISA KEV への掲載はなく、EPSS も未算出です。 ## 概要 | 項目 | 内容 | |---|---| | CVE | CVE-2026-4052（2026-11-03 公開） | | 問題 | 認可の欠落（CWE-862）。自己登録ユーザーが System REST API にアクセスできる | | 前提となる構成 | WSO2 Identity Server を Resident Key Manager とし、データベースを共有している環境のみ | | CVSS v3.1 | 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。採番元（WSO2）の評価で、NVD による評価ではない | | NVD の状態 | Received（分析前） | | EPSS | 未算出（FIRST に該当データなし） | | KEV | 掲載なし | ## 影響を受ける製品と版 | 製品 | 影響を受ける版 | |---|---| | WSO2 API Manager | 4.1.0、4.2.0、4.3.0、4.4.0、4.5.0、4.6.0 | | WSO2 API Control Plane | 4.5.0、4.6.0 | | WSO2 Identity Server Key Manager Connector（apim-km-wso2is） | 1.8.8 より前 | ## 読むときの注意 - スコアは 9.8 ですが、攻撃には「自己登録ユーザー」としてトークンを得る手順が前提になります。自己登録を許していない環境や、Identity Server を Key Manager に使っていない環境は、この条件に当てはまりません。 - NVD のスコアは採番元の評価（Secondary）です。NVD 自身の分析が出れば、数値が変わる可能性があります。 - System REST API で具体的に何ができるか（どの操作まで可能か）は、公開されている情報の範囲では詳しく分かりません。 ## 対策 - 自社の WSO2 API Manager が、Identity Server を Resident Key Manager とし、データベースを共有する構成かどうかを確認する。 - 該当する場合は、WSO2 のセキュリティ勧告（WSO2-2026-5212）に従い、修正版へ更新するか、示されている緩和策を適用する。 - 更新までの間は、ユーザーの自己登録を無効にするか、System REST API へのアクセスを管理用ネットワークに限定することを検討する。 - トークンの発行ログから、一般ユーザーに System REST API 向けのトークンが発行されていないかを点検する。 ## 数値と出典（2026-11-03 時点） | 項目 | 内容 | |---|---| | NVD | 状態 Received。CVSS v3.1 9.8 は WSO2 による評価 | | CWE | CWE-862（認可の欠落） | | EPSS | 未算出 | | KEV | 掲載なし | | 出典 | NVD、WSO2 セキュリティ勧告 WSO2-2026-5212、CISA KEV、FIRST | ## 未確認の点 - 修正版の版番号と緩和策の詳細（WSO2 の勧告ページは取得時にアクセスが制限され、本文を確認できていません）。 - System REST API で可能な操作の範囲と、実際の悪用の有無。 - 過去に公表された WSO2 API Manager の System REST API のアクセス制御の問題（CVE-2025-11969）との関係。 ## 出典 - [NVD CVE-2026-4052](https://nvd.nist.gov/vuln/detail/CVE-2026-4052) — NIST NVD - [WSO2 セキュリティ勧告 WSO2-2026-5212](https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5212/) — WSO2 - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-4052) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wso2-api-manager-resident-key-manager-self-registered-user-system-rest-api-cve-2026-4052