--- title: "WSO2 API Manager などの System REST API でアクセス制御の不備（CVE-2025-11969、CVSS 9.4）: 低権限ユーザーが管理操作を実行できる、公開修正あり" url: https://n-t-p.io/worldsecurity/articles/wso2-api-manager-system-rest-api-access-control-cve-2025-11969 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 高 cve: CVE-2025-11969 --- # WSO2 API Manager などの System REST API でアクセス制御の不備（CVE-2025-11969、CVSS 9.4）: 低権限ユーザーが管理操作を実行できる、公開修正あり > **TL;DR:** WSO2 API Manager 3.1.0〜4.5.0 などの System REST API で、低権限のユーザーが管理操作を実行できるアクセス制御の不備（CVE-2025-11969）。勧告の CVSS 9.4。サポート契約者は更新レベル、コミュニティ版は公開修正で対処。KEV なし、悪用は未確認。 **要点** - System REST API が権限を正しく確認せず、低権限のユーザーが管理操作を実行できる（CWE-285）。API Gateway 経由で公開した API は影響を受けない - 対象は WSO2 API Manager 3.1.0〜4.5.0、API Control Plane・Traffic Manager・Universal Gateway 4.5.0、Identity Server as Key Manager 5.10.0、Open Banking AM・IAM 2.0.0 - WSO2 の勧告（2026-01-26）の CVSS v3.1 は 9.4。NVD 登録は 11/2 で未分析。ベクターは権限不要だが説明は低権限ロールとあり、食い違いは未確認 - KEV なし。EPSS は 11/2 時点で未算出。悪用・公開済みの概念実証は未確認 - 契約者は WSO2 Updates の更新レベルへ、コミュニティ版は carbon-apimgt の PR 13521 の修正か最新版へ。到達経路の限定と実行記録の確認は推定 WSO2 API Manager などの System REST API に、アクセス制御の不備（CVE-2025-11969、CWE-285）があります。WSO2 は 2026-01-26 にセキュリティ勧告 WSO2-2025-4733 を出しており、NVD への登録は 2026-11-02 です（取得時点は未分析）。低い権限のロールのユーザーが、本来制限されるべき管理操作を実行できます。API Manager の API Gateway 経由で公開した API は影響を受けません。 ## 何が起きるか - System REST API が権限ロールに応じたアクセス制御を正しく行わず、低権限のユーザーが管理用の機能を実行できます（NVD の説明）。 - 勧告の CVSS v3.1 は 9.4（AV:N／AC:L／PR:N／UI:N／S:U／C:H／I:H／A:L）で、深刻度は Critical です。ベクターは権限不要（PR:N）ですが、説明文は「低権限のロールのユーザー」としており、両者の食い違いは公開情報では解消できていません。 - どの管理操作が実行できるかの具体的な一覧や、攻撃の手順は公開情報では確認できていません。 ## 影響を受ける製品と版（WSO2 勧告） - WSO2 API Manager: 3.1.0、3.2.0、3.2.1、4.0.0、4.1.0、4.2.0、4.3.0、4.4.0、4.5.0 - WSO2 API Control Plane 4.5.0、Traffic Manager 4.5.0、Universal Gateway 4.5.0 - WSO2 Identity Server as Key Manager 5.10.0 - WSO2 Open Banking AM 2.0.0、Open Banking IAM 2.0.0 ## 評価の状況 - 勧告の評価は CVSS v3.1 で 9.4（Critical）です。NVD はこの評価を第二者の情報として載せており、NVD 自身の評価はまだありません（11/2 取得）。 - EPSS は、CVE 公開が直前のため FIRST の API にまだ値がありません（11/2 取得）。 - CISA の KEV カタログには載っていません（11/2 取得）。 ## 修正の状況 - WSO2 のサポート契約者向けには、WSO2 Updates の更新レベルで修正が配布されています（勧告）。API Manager 4.5.0 は 32、4.4.0 は 49、4.3.0 は 85、4.2.0 は 173、4.1.0 は 233、4.0.0 は 370、3.2.1 は 70、3.2.0 は 450、3.1.0 は 347 以上です。 - その他: API Control Plane 4.5.0 は 33、Traffic Manager・Universal Gateway 4.5.0 は 31、Identity Server as Key Manager 5.10.0 は 367、Open Banking AM 2.0.0 は 396、Open Banking IAM 2.0.0 は 416 以上です。 - コミュニティ版の利用者には、公開された修正（carbon-apimgt の PR 13521）の適用、または最新の影響を受けない版への移行が案内されています。 ## 対応として考えられること 1. 自組織で使っている WSO2 の製品と版を確認し、上の対象に当たるなら、更新レベルを満たすまで更新します（コミュニティ版は公開修正の適用か最新版への移行）。更新前にバックアップを取り、動作を試します。 2. System REST API（管理用の API）への到達経路を確認し、インターネットや広い社内ネットワークから届く場合は、管理用ネットワークや VPN 越しに限ります（推定）。 3. 管理操作の実行記録（設定変更、アプリケーションや API の作成・削除、鍵の発行）に見慣れないものがないかを確認します（推定）。 4. 更新が遅れる場合は、低権限のアカウントを最小限にし、使っていないアカウントを無効にします（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。KEV には未掲載です。 - 公開済みの概念実証コードの有無は確認していません。 - 実行できる管理操作の範囲と、権限不要（PR:N）か低権限が必要かの食い違いは確認できていません。 - 3.1.0 より前の版や、勧告に載っていない製品への影響は確認していません。 - NVD は 11/2 に登録された直後で未分析のため、NVD の評価と影響範囲の記載は今後変わる可能性があります。 ## 出典 - [NVD CVE-2025-11969](https://nvd.nist.gov/vuln/detail/CVE-2025-11969) — NIST NVD - [WSO2 セキュリティ勧告 WSO2-2025-4733](https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2025-4733/) — WSO2 - [carbon-apimgt PR 13521（公開修正）](https://github.com/wso2/carbon-apimgt/pull/13521) — GitHub - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2025-11969) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wso2-api-manager-system-rest-api-access-control-cve-2025-11969