「Apache Struts」にXXE脆弱性 - 修正版がリリース

「Apache Struts」にあらたな脆弱性が明らかになったとして、開発チームはセキュリティアドバイザリを公開した。脆弱性を修正するアップデートを提供している。

「同6.1.0」および以前のバージョンに、設定ファイル「XWork」の解析処理に起因するXML外部実体参照（XXE）の脆弱性「CVE-2025-68493」が明らかとなったもの。

細工されたXMLファイルを処理すると、サーバサイドリクエストフォージェリ（SSRF）や情報漏洩、サービス拒否（DoS）につながるおそれがある。開発チームでは重要度を「重要（Important）」とレーティングしている。

一方、共通脆弱性評価システム「CVSSv3.1」のベーススコアは「8.1」、重要度は4段階中、上から2番目にあたる「高（High）」とレーティングされている。

開発チームは、修正版となる「同6.1.1」をリリース。利用者にアップデートを呼びかけた。

今回明らかとなった「CVE-2025-68493」に関しては、「同2.5」ブランチや以前のブランチに関しても影響を受けるがサポートが終了しており、アップデートは提供されていない。

（Security NEXT - 2026/01/13 ）ツイート