概要
Eclipse Glassfishのガジェットハンドラで使用されるサーバーサイドテンプレートレンダリング機構に、リモートコード実行（RCE）が可能な脆弱性があります（CWE-917：サーバーサイドテンプレートインジェクション）。
アプリケーションは.xmlファイルを処理する際、攻撃者が制御可能な式を評価します。この式評価を通じて任意コード実行が可能になります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| スコア | 9.6 (CRITICAL) |
| 攻撃経路 (AV) | ネットワーク (N) |
| 攻撃の複雑さ (AC) | 低 (L) |
| 必要な権限 (PR) | 不要 (N) |
| ユーザー関与 (UI) | 不要 (N) |
| CWE | CWE-917（サーバーサイドテンプレートインジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Eclipse Glassfish | Eclipse Foundation | 詳細はアドバイザリを参照 |
修正バージョンと回避策
Eclipse Foundationのセキュリティアドバイザリおよびリリースノートを確認し、修正バージョンへのアップデートを実施してください。
推奨アクション:
- 使用しているGlassfishのバージョンを確認する
- Eclipse GitLabのセキュリティアドバイザリを参照し、影響を受けるバージョンかどうか確認する
- 修正バージョンへのアップデートを実施する
- インターネット公開インスタンスの場合は、アップデートまでの間アクセス制御の強化を検討する
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。