30秒で判断
対応すべき人:
- Apache CXF 4.2.x（< 4.2.2）または 4.1.x（< 4.1.7）を使用している
OAuthRequestFilterを有効にしてIPアドレスベースのOAuth認証フィルタリングを使用している
対応不要な人:
- Apache CXF 4.2.2 または 4.1.7 以降にアップグレード済み
- Apache CXF を使用していない
OAuthRequestFilterのIPアドレス制限機能を使用していない（ただしアップグレードは推奨）
確認コマンド:
# Mavenプロジェクトの場合
mvn dependency:tree | grep cxf
# またはpom.xmlでバージョン確認
grep -r "cxf" pom.xml
概要
Apache CXFの OAuthRequestFilter において、バインドIPアドレスからの正規リクエストを拒否しつつ、それ以外のすべてのIPアドレスからのリクエストを無条件に許可するというロジックエラーが存在します。
本来はバインドIPアドレスからのリクエストのみを許可し、他を拒否する設計のはずですが、判定ロジックが完全に逆転しています。つまり「セキュリティ機能を有効化することで、むしろ保護が無効になる」という状態です。
この脆弱性を利用すると、攻撃者は任意のIPアドレスからOAuthで保護されたリソースにアクセスできます。CVSSスコア9.8はネットワーク経由・認証不要・高影響を反映しています。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 9.8（Critical） |
| CWE | CWE-20（不適切な入力検証）、CWE-358（セキュリティ機能の不適切な実装） |
| 攻撃元区分 (AV) | ネットワーク (N) |
| 攻撃条件の複雑さ (AC) | 低 (L) |
| 必要な特権 (PR) | なし (N) |
| ユーザーの関与 (UI) | 不要 (N) |
| 機密性への影響 (C) | 高 (H) |
| 完全性への影響 (I) | 高 (H) |
| 可用性への影響 (A) | 高 (H) |
影響を受けるソフトウェア
| 製品 | 影響バージョン |
|---|---|
| Apache CXF | < 4.2.2 |
| Apache CXF | < 4.1.7 |
修正バージョンと回避策
修正バージョン: Apache CXF 4.2.2 または 4.1.7
Maven での更新:
<dependency>
<groupId>org.apache.cxf</groupId>
<artifactId>cxf-rt-rs-security-oauth2</artifactId>
<version>4.2.2</version>
</dependency>
回避策（アップグレードが困難な場合）:
OAuthRequestFilterのIPアドレス制限機能を一時的に無効化する- ネットワークレベル（ファイアウォール、ロードバランサー）でIPアドレス制限を実施する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。