JVN iPediaは2026年10月19日、Apache CXFの証明書検証に関する脆弱性情報を掲載しました。接続先のホスト名を検証しない問題で、認証情報を含む通信の読み取りや改ざんにつながる恐れがあります。署名検証やサービス停止に関わる別の3件も含め、利用版と修正版の確認が必要です。
既定設定でも接続先のホスト名を検証せず
証明書検証の問題は「CVE-2026-107938」です。深刻度を示すCVSS v3基本値は9.1で、「緊急」に分類されています。
対象はNettyベースのHTTPクライアントです。通信を暗号化するTLSの証明書について、接続先のホスト名と一致するかを検証していませんでした。HTTP/1.1とHTTP/2の双方に該当します。
注意したいのは、disableCNCheckがデフォルト値のfalseでも、ホスト名の検証が行われなかった点です。証明書チェーンは、信頼する証明書を登録した信頼ストアで検証していましたが、接続先が正しい相手かは確認していませんでした。
JVN iPediaによると、通信を傍受する攻撃者が、信頼される証明書を使ってサービスを偽装できます。設定値が既定どおりであることだけをもって、今回の問題への対処済みとは判断できません。
この問題の対象版は、3.6.13未満、4.0.0以上4.1.9未満、4.2.0以上4.2.4未満です。
署名検証とサービス停止に関わる3件も修正
「CVE-2026-100227」は、JAX-RS XMLセキュリティモジュールの署名検証の不備です。署名済み文書を包む未署名コンテンツが、署名済みと誤認される問題があります。
「CVE-2026-107937」は、multipart/MTOM添付ヘッダーの制限を回避される問題です。サイズ制限は物理行だけに適用され、継続行や同名ヘッダーの結合値には適用されていませんでした。ヘッダー数も名前の種類だけを数えており、行の総数を確認していませんでした。未認証の遠隔攻撃者によるメモリ枯渇で、サービスを利用できなくするDoSが起きる恐れがあります。
「CVE-2026-108039」は、StaxUtilsにXMLの要素数と文字数の既定上限がなかった問題です。要求サイズの制限がない場合、大きなXMLの解析でDoSにつながる恐れがあります。修正後の既定値は、最大要素数が5,000,000、最大ドキュメントサイズが256M文字です。
この3件のCVSS v3基本値はいずれも7.5で、「重要」です。証明書検証の問題を含め、4件とも4.2.4、4.1.9、3.6.13で修正されており、更新が推奨されています。
影響する会社・しない会社
- 影響する: 証明書検証の対象版を使い、NettyベースのHTTPクライアントで通信する会社です。
disableCNCheck=falseという設定だけでは、対象から除外できません。
- 影響する: JAX-RS XMLセキュリティモジュール、multipart/MTOM添付、StaxUtilsを使う会社は、残る3件の確認が必要です。この3件の影響版も、3.6.13未満、4.0.0以上4.1.9未満、4.2.0以上4.2.4未満です。
- 影響しない: Apache CXFを利用していない会社は、今回の4件の直接の対象ではありません。自社開発分だけでなく、委託先が管理するシステムでの利用有無も確認したいところです。
- 影響しない: 修正版の4.2.4、4.1.9、3.6.13を利用している環境では、今回の4件は修正されています。これはApache CXF全体に問題がないという意味ではありません。
情シスが今日やること
- 今日中に、システムの構成管理台帳や開発担当が管理する依存関係一覧で、Apache CXFの有無と利用版を確認します。製品固有の管理画面や確認メニューは資料に書かれていないため、委託システムは保守窓口に同じ情報を照会します。
- 対象システムの開発・保守担当に、NettyベースのHTTPクライアントの利用有無を確認します。
disableCNCheckの値だけで確認を終えず、版番号と併せて記録してください。XML署名、添付処理、StaxUtilsの利用有無も確認項目に加えます。
- 利用が分かった段階で、システム責任者と保守担当に4件の識別子と修正版を共有します。要求サイズ制限の有無も確認し、通信の偽装、署名の誤認、サービス停止を分けて影響を整理します。
- 更新作業の前に、採用する修正版と検証項目を開発・保守担当と決めます。証明書検証、署名処理、添付処理、大きなXMLの扱いを確認し、更新予定日と担当者を管理台帳に残します。資料に対応期限の指定はないため、社内で期限を決めて追跡してください。
