「Apache WSS4J」に認証回避など7件の脆弱性 - 修正版が公開

「CVE-2026-95616」は「X.509証明書拡張」の解析処理で整数オーバーフローが生じ、メモリを浪費させてサービス拒否を引き起こすことができる。

さらに署名対象に対するポリシーチェックを回避できる「CVE-2026-92121」、派生鍵の検証不備「CVE-2026-85532」、リプレイ攻撃対策を回避できる「CVE-2026-92899」など、「中（Moderate）」とされる3件や、「低（Low）」とされる「StAX」のポリシー検証不備「CVE-2026-87830」に対応した。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）では、共通脆弱性評価システム「CVSSv3.1」における「CVE-2026-88920」のベーススコアを「9.8」と評価。

また「CVE-2026-89238」「CVE-2026-87830」についても「9.1」としており、重要度が4段階中もっとも高い「クリティカル（Critical）」相当としている。くわえて「CVE-2026-85532」「CVE-2026-92121」「CVE-2026-95616」についてもベーススコアを「7.5」とした。

開発チームでは、これら脆弱性を修正した「同4.0.2」「同3.0.6」「同2.4.4」を提供しており、アップデートを呼びかけている。

（Security NEXT - 2026/10/01 ）ツイート

「Apache WSS4J」に認証回避など7件の脆弱性 - 修正版が公開

関連リンク

PR

関連記事