30秒で判断
対応すべき人:
- Quarkus を利用し、Qute テンプレートエンジンで動的コンテンツ（HTML/メール等）を生成している
- かつ テンプレートのテキストにユーザー入力が影響し得る
対応不要な人:
- Qute を使用していない、またはテンプレートに信頼できない入力が入らない
- Red Hat の修正版へアップデート済み
確認コマンド:
# 依存の Quarkus / Qute バージョンを確認
./mvnw dependency:tree | grep -i qute
./gradlew dependencies | grep -i qute
概要
Qute は、Quarkus が HTMLページやメールなどの動的コンテンツを生成するために使うテンプレートエンジンです。本脆弱性は、データ値を参照するコンポーネント ReflectionValueResolver に存在し、Enum などの特定のデータ型を処理する際に、機微なJava内部関数へのアクセスを適切に遮断できない ことに起因します（CWE-1336 テンプレートエンジンにおける特殊要素の不適切な中和）。
テンプレートテキストを提供・影響できる攻撃者は、このバイパスを悪用して サーバ上で許可されていないコマンドを実行 し、サーバの制御を奪い得ます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 8.8（High） |
| CWE | CWE-1336（テンプレートインジェクション） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | 低 (L) |
| ユーザーの関与 (UI) | 不要 (N) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Quarkus / Qute | Red Hat 提供の修正版より前 |
修正バージョンと回避策
Red Hat のエラータ（RHSA）に従い、修正版へアップデート してください。暫定策として、テンプレートテキストに信頼できない入力が混入しないよう入力を分離し、ユーザー入力はデータ値としてのみ渡す設計を徹底することが有効です。
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。