30秒で判断
- 対応すべき人: Apache Axis2/Javaを利用してSOAP/RESTサービスを公開しているシステム管理者
- 対応不要な人: Axis2/Javaを使用していない、またはすでに2.0.2以降にアップデート済みの人
- 確認コマンド:
find / -name "axis2*.jar" 2>/dev/null
概要
Apache Axis2/Javaには、JSONメッセージビルダー（Gson、Moshi、HTTP/2対応バリアントを含む）が、リクエストボディ全体をサイズ制限なしにメモリ上へバッファリングしてしまう不備が確認されました。
この不備が存在するバージョンでは、認証を必要とせずに大きなサイズのJSONリクエストを送信することで、サーバー側のメモリを消耗させ、サービスを利用不能にする可能性があります。Axis2/JavaはSOAP/RESTのWebサービスフレームワークとして利用されることが多く、公開APIエンドポイントが存在する場合は特に注意が必要です。
修正版の2.0.2では、jsonMaxRequestSize パラメータでJSONリクエストボディのサイズに上限を設定できるようになっています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 (High) |
| CVSSバージョン | 3.1 |
| CWE | CWE-770（リソース割り当ての制限不足） |
影響を受けるソフトウェア
| 製品 | 影響を受けるバージョン | 修正バージョン |
|---|---|---|
| Apache Axis2/Java | <= 2.0.1 | 2.0.2 |
修正バージョンと回避策
- Apache Axis2/Javaを2.0.2以降へアップデートし、
jsonMaxRequestSizeパラメータで適切なリクエストサイズの上限を設定してください。 - アップデートが難しい場合は、リバースプロキシやWAFでリクエストボディのサイズ制限を設定する回避策が有効です。
- JSONメッセージビルダー（Gson/Moshi/HTTP2）を使用していないサービス構成であれば、影響は限定的です。
関連リンク
- NVD - CVE-2026-120367
- Apache Axis2 2.0.2 Release Notes
- GitHub Commit - Fix
- Apache Mailing List Announcement
- oss-security Mailing List
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。