つみかさね

CVE-2026-49875

Critical(9.8)

CVE-2026-49875 — Apache CXF XML外部エンティティ（XXE）インジェクション

公開日: 2026-06-16データソース: NVD, GitHub Advisory

影響を受けるソフトウェア

製品ベンダー影響バージョン
Apache CXFApache Software Foundation< 4.2.2, < 4.1.7

対応ガイド

high|対応必須セキュリティ修正影響: 広範

推奨アクション

  1. 1使用中の Apache CXF のバージョンを確認する
  2. 2Apache CXF 4.2.2 または 4.1.7 以降へアップグレードする
  3. 3アップグレードが困難な場合は外部エンティティ解決を無効化する設定を適用する

影響対象

Apache CXF 利用者（4.2.1以前、4.1.6以前）

補足

  • -REST/SOAP エンドポイントとしてインターネットに公開している環境は優先的に対応してください
CVEApache CXFXXEXMLCWE-611

概要

Apache CXF の EndpointReferenceUtils および W3CMultiSchemaFactory クラスが SAXParserFactory を生成する際に、JAXP のセキュリティ設定（外部エンティティ解決の無効化等）を適用していない問題です。これにより、帯域外（OOB）の外部エンティティ解決が可能な状態となります。

攻撃者はこの脆弱性を悪用してサーバー側の任意ファイルを読み取ったり、SSRF（Server-Side Request Forgery）を引き起こしたりできる可能性があります。Apache CXF を REST/SOAP エンドポイントとして公開している環境は影響を受けます。

CVSSベクトル

要素値説明
Attack VectorNetworkネットワーク経由で攻撃可能
Attack ComplexityLow特別な条件不要
Privileges RequiredNone認証不要
User InteractionNoneユーザー操作不要
ScopeUnchanged影響範囲変化なし
ConfidentialityHighサーバー上のファイル読み取り等
IntegrityHighデータ改ざんのリスク
AvailabilityHighサービス停止のリスク

影響を受けるソフトウェア

製品影響バージョン修正バージョン
Apache CXF4.2.1 以前4.2.2
Apache CXF4.1.6 以前4.1.7

修正バージョンと回避策

修正バージョン: Apache CXF 4.2.2 または 4.1.7 以降へアップグレードしてください。

回避策: アップグレードが困難な場合は、外部ネットワークアクセスを制限するファイアウォールルールや、XML パーサーに対して外部エンティティ解決を無効化する設定を適用することを検討してください。

関連リンク

データソース: NVD (NIST), OSV (Google) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。

参考リンク

NVD:https://nvd.nist.gov/vuln/detail/CVE-2026-49875
Apache:https://lists.apache.org/thread/3kb9w5bg90xcp06fccoz9k3gpsvyy79o
oss-security:http://www.openwall.com/lists/oss-security/2026/06/11/2
Xでシェアはてブ
データソース: NVD (NIST), OSV (Google), GitHub Advisory Database, JVN iPedia (IPA/JPCERT/CC)
AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。