30秒で判断
対応すべき人
- Javaアプリケーションで「Hibernate Validator」（Bean Validation実装）を利用している開発者・運用者
対応不要な人
- Hibernate Validatorを使用していない、または別のBean Validation実装を利用している
確認コマンド
# Maven/Gradle依存関係でバージョンを確認
mvn dependency:tree | grep hibernate-validator
概要
本脆弱性は、Javaの標準Bean Validation仕様の実装である「Hibernate Validator」において、ユーザーが制御可能なデータをEL（Expression Language）式の中で扱う際のエスケープ処理が不適切であることに起因します。これにより、攻撃者が制御可能な入力を悪用して過剰なリソース消費を引き起こし、サービス拒否（DoS）状態に陥らせる可能性があります。IBM製品を含め、多くのJavaフレームワーク・アプリケーションがHibernate Validatorを内部で利用しているため、間接的な依存関係も含めた確認が必要です。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 |
| Severity | HIGH |
| CVSSバージョン | 3.1 |
| CWE | CWE-400（制御されないリソース消費） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Hibernate Validator | Red Hat / Hibernate（JBoss） | 修正前のバージョン（詳細は公式アドバイザリ参照） |
修正バージョンと回避策
IBM公式サポートページにて、本問題の影響を受けるIBM製品と修正情報が公開されています。Hibernate Validatorを直接または間接的に利用しているアプリケーションは、Hibernate Validatorの最新版へのアップデートを推奨します。アップデートが難しい場合は、ユーザー入力を検証ルール（カスタムメッセージなど）に直接渡さないようにする、またはEL式の評価を制限する設定を見直すことが回避策となります。
関連リンク
- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-93879
- IBM公式サポート情報: https://www.ibm.com/support/pages/node/7293301
データソース: NVD (NIST) AI解説はClaude APIにより自動生成されています。正確性については原文をご確認ください。