WSO2 API Manager などの System REST API でアクセス制御の不備（CVE-2025-11969、CVSS 9.4）: 低権限ユーザーが管理操作を実行できる、公開修正あり

WSO2 API Manager などの System REST API に、アクセス制御の不備（CVE-2025-11969、CWE-285）があります。WSO2 は 2026-01-26 にセキュリティ勧告 WSO2-2025-4733 を出しており、NVD への登録は 2026-11-02 です（取得時点は未分析）。低い権限のロールのユーザーが、本来制限されるべき管理操作を実行できます。API Manager の API Gateway 経由で公開した API は影響を受けません。

何が起きるか

• System REST API が権限ロールに応じたアクセス制御を正しく行わず、低権限のユーザーが管理用の機能を実行できます（NVD の説明）。
• 勧告の CVSS v3.1 は 9.4（AV:N／AC:L／PR:N／UI:N／S:U／C:H／I:H／A:L）で、深刻度は Critical です。ベクターは権限不要（PR:N）ですが、説明文は「低権限のロールのユーザー」としており、両者の食い違いは公開情報では解消できていません。
• どの管理操作が実行できるかの具体的な一覧や、攻撃の手順は公開情報では確認できていません。

影響を受ける製品と版（WSO2 勧告）

• WSO2 API Manager: 3.1.0、3.2.0、3.2.1、4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0
• WSO2 API Control Plane 4.5.0、Traffic Manager 4.5.0、Universal Gateway 4.5.0
• WSO2 Identity Server as Key Manager 5.10.0
• WSO2 Open Banking AM 2.0.0、Open Banking IAM 2.0.0

評価の状況

• 勧告の評価は CVSS v3.1 で 9.4（Critical）です。NVD はこの評価を第二者の情報として載せており、NVD 自身の評価はまだありません（11/2 取得）。
• EPSS は、CVE 公開が直前のため FIRST の API にまだ値がありません（11/2 取得）。
• CISA の KEV カタログには載っていません（11/2 取得）。

修正の状況

• WSO2 のサポート契約者向けには、WSO2 Updates の更新レベルで修正が配布されています（勧告）。API Manager 4.5.0 は 32、4.4.0 は 49、4.3.0 は 85、4.2.0 は 173、4.1.0 は 233、4.0.0 は 370、3.2.1 は 70、3.2.0 は 450、3.1.0 は 347 以上です。
• その他: API Control Plane 4.5.0 は 33、Traffic Manager・Universal Gateway 4.5.0 は 31、Identity Server as Key Manager 5.10.0 は 367、Open Banking AM 2.0.0 は 396、Open Banking IAM 2.0.0 は 416 以上です。
• コミュニティ版の利用者には、公開された修正（carbon-apimgt の PR 13521）の適用、または最新の影響を受けない版への移行が案内されています。

対応として考えられること

1. 自組織で使っている WSO2 の製品と版を確認し、上の対象に当たるなら、更新レベルを満たすまで更新します（コミュニティ版は公開修正の適用か最新版への移行）。更新前にバックアップを取り、動作を試します。
2. System REST API（管理用の API）への到達経路を確認し、インターネットや広い社内ネットワークから届く場合は、管理用ネットワークや VPN 越しに限ります（推定）。
3. 管理操作の実行記録（設定変更、アプリケーションや API の作成・削除、鍵の発行）に見慣れないものがないかを確認します（推定）。
4. 更新が遅れる場合は、低権限のアカウントを最小限にし、使っていないアカウントを無効にします（推定）。

未確認の点

• 実際の攻撃での悪用は確認していません。KEV には未掲載です。
• 公開済みの概念実証コードの有無は確認していません。
• 実行できる管理操作の範囲と、権限不要（PR:N）か低権限が必要かの食い違いは確認できていません。
• 3.1.0 より前の版や、勧告に載っていない製品への影響は確認していません。
• NVD は 11/2 に登録された直後で未分析のため、NVD の評価と影響範囲の記載は今後変わる可能性があります。