日本公的データラボ脆弱性情報（JVN）
脆弱性情報（JVN）検索・一覧
JVN（IPA／JPCERT/CC 提供）の脆弱性情報 289,756 件を、製品・ベンダ・脆弱性タイプ（CWE）で 全文検索し、深刻度（CVSS）で絞り込めます。発表日の新しい順。各タイトルから詳細（CVSS内訳・関連脆弱性）へ。
直近1年 の検索結果：681–720 件目を表示（ページ 18）
深刻度は CVSS（共通脆弱性評価システム・0〜10 のスコア）に基づく区分：Critical 9.0以上／High 7.0〜8.9／Medium 4.0〜6.9／Low 0.1〜3.9。
js-yamlはJavaScriptのYAMLパーサーおよびダンプツールです。バージョン5.0.0から5.2.1未満の間、src/tag/sequence/omap.ts内の!!omapタグに対するYAML11_SCHEMAのサポートにおいて、omapTag.addItem()を用いて挿入ごとに線形の重複キー走査を行っていました。そのため、yaml.load()が細工されたordered-mapドキュメントを解析するとO(n^2)のCPU消費が発生していました。この問題はバージョン5.2.1で修正されています。
node-tarはNode.js用のtarアーカイブ操作ライブラリです。7.5.18以前のバージョンでは、node-tarはsrc/pax.ts内の全て数字のみで構成されたPAXパスとlinkpathの値をJavaScriptの数値に強制変換しており、そのためnormalizeWindowsPath(entry.path).split('/')のような下流のパス処理でキャッチされないTypeErrorが発生していました。この問題はバージョン7.5.18で修正されました。
node-tarはNode.js向けのtarアーカイブ操作ライブラリです。バージョン7.5.19より前のnode-tarでは、src/extract.tsなどの展開および解析パスにおいて、展開後の総データ量、エントリ数、または展開比率に対する厳格な上限を設けていませんでした。そのため、小さく巧妙に作成されたgzipボムによってディスク容量とCPUが枯渇する可能性がありました。この問題はバージョン7.5.19で修正されています。
node-tarはNode.js向けのtarアーカイブ操作ライブラリです。7.5.18より前のバージョンでは、tar.replaceがチェックサムが有効なtarヘッダーで負のbase-256エンコードされたエントリサイズを受け入れてしまい、アーカイブスキャナが同じヘッダーを繰り返し解析し続けて処理が進まなくなる問題がありました。この問題はバージョン7.5.18で修正されました。
protobufjsはprotobuf定義をJavaScript（JS）関数にコンパイルします。7.6.5および8.6.6より前のバージョンでは、protobufjsはスキーマトークンを進めて=トークンに到達するまでオプション名を解析しましたが、入力の終わりを確認しませんでした。そのため、オプション宣言を開いた状態で途中で終了するように作成された悪意のある.protoスキーマが原因で、parse、Root.load、またはRoot.loadSyncが無限ループに陥る可能性がありました。この問題はバージョン7.6.5および8.6.6で修正されています。
Immutable.jsは多くの永続的なイミュータブルデータ構造を提供しています。バージョン4.3.9および5.1.8より前のList#set、List#setSize、List#setIn、List#updateIn、および関数型のset、setIn、updateInは、src/List.jsのsetListBounds内で2 ** 30から2 ** 31の範囲のインデックスやサイズを誤処理します。これにより、空のListが捕捉不可能な無限ループに陥ったり、要素を持つListがプロセスが中断されるまで制限なくメモリを割り当てたり、setSizeが大きな値を静かにオーバーフローさせる問題が発生します。この問題はバージョン4.3.9および5.1.8で修正されています。
Immutable.jsは多くの永続的な不変データ構造を提供しています。バージョン4.3.9および5.1.8より前のImmutable.MapおよびImmutable.Setは、同じ32ビットハッシュを共有するキーをHashCollisionNodeの衝突バケットに保持し、それを線形にスキャンします。このため、Immutable.Map(obj)、Immutable.fromJS(obj)、state.merge(userObject)、またはmergeDeepなどを通じてMapに挿入されるキーを攻撃者が制御できる場合には、多数の衝突するキーを作成し、挿入および検索処理のパフォーマンスを劣化させて過剰なCPU使用を引き起こすことが可能です。この問題はバージョン4.3.9および5.1.8で修正されています。
HonoはあらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.0.0から4.12.27未満の間、hono/cssのcx()は単純な文字列からクラス名を構築していましたが、入力をHTMLエスケープせずに結果をすでにエスケープ済みとしてマークしていたため、サーバーサイドレンダリング時にJSXのclass属性で使用された信頼できないclassNameの値が属性から抜け出し、任意のマークアップを注入される問題がありました。この問題はバージョン4.12.27で修正されました。
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.11.8から4.12.27未満のhono/jsxでは、サーバーサイドレンダリング中にリクエストごとにコンテキスト値を分離しておらず、createContext、useContext、jsxRenderer、またはuseRequestContextのデータが、別の進行中のリクエストからawait後の非同期コンポーネント内で使用される可能性がありました。この問題はバージョン4.12.27で修正されました。
Honoは、あらゆるJavaScriptランタイムをサポートするWebアプリケーションフレームワークです。バージョン4.3.3から4.12.27の間では、AWS API Gateway v1アダプターが繰り返された特定のリクエストヘッダー値をドロップする可能性がありました。これは、値を正確に一致させるのではなく部分文字列比較で重複排除を行っていたためです。そのため、X-Forwarded-Forチェーンの完全な情報に依存するミドルウェアやアプリケーションロジック、レート制限、監査ログ、プロキシチェーンの検証が不完全なデータを受け取ってしまう可能性があります。この問題はバージョン4.12.27で修正されています。
Zeek 8.0.9より前のバージョンには、FTPアナライザに制御されていないメモリ消費の脆弱性があります。この脆弱性によって、認証されていないリモート攻撃者が、AUTH GSSAPIを交渉する特別に細工されたFTP制御セッションを送信し、その後に大きなADAT制御行を続けて送ることでプロセスを終了させることが可能です。攻撃者は、NVT_Analyzerコンポーネントに最大行長チェックが欠如している点を悪用し、攻撃者が制御するADATトークンのbase64デコード時に内部バッファを無制限に倍増させ続けるため、結果としてZeekセンサーのサービス拒否を引き起こします。
Zeek 8.0.9より前のバージョンには、Kerberosプロトコルアナライザーにヌルポインタデリファレンスの脆弱性が存在します。この脆弱性により、認証されていないリモート攻撃者が、エラーコード25（KDC_ERR_PREAUTH_REQUIRED）を含むKRB_ERRORメッセージを細工して送信し、padata-typeが2、3、11、または19のPA-DATA要素を含ませることでセンサーをクラッシュさせることが可能です。攻撃者は、proc_padata()が誤った解析パスによって選択された初期化されていないpa_data_elementフィールドをデリファレンスしてしまうパーサーとアナライザの状態の不一致を悪用し、資格情報や事前認証なしに単一のUDPまたはTCPパケットをポート88に送信することでクラッシュを引き起こします。
JetBrains YouTrack 2026.2.17394以前のバージョンには、ダイジェストメール内の記事タイトルを介した保存型クロスサイトスクリプティング（XSS）が可能である脆弱性がありました。
GitLabは、GitLab EEのバージョン18.9から18.11.7未満、19.0から19.0.4未満、および19.1から19.1.2未満のすべてのバージョンに影響を及ぼす問題を修正しました。この問題は、特定の条件下で最小限のアクセス権を持つ認証ユーザーが、認可チェックが欠如しているためにプライベートプロジェクトの作業項目メタデータを読み取れるというものでした。
Progress MOVEit Transfer（カスタムレポートモジュール）におけるデータクエリロジック内の特殊要素が不適切に無害化される脆弱性です。この問題はMOVEit Transferのバージョン2025.0.7以前および2025.1.0から2025.1.3未満に影響します。
IBM API Connect 10.0.8.0から10.0.8.9および12.1.0.0から12.1.0.3には、パスワードリセット機能において認証されていないSQLインジェクションの脆弱性が存在します。
bentoml OpenLLM 0.6.30に脆弱性が発見されました。この脆弱性はコンポーネント「Model Repository Directory Name Handler」のファイルsrc/openllm/common.py内の関数async_run_commandに影響を及ぼします。引数cmdの操作によりコマンドインジェクションが発生します。攻撃はローカル環境で実行される必要があります。エクスプロイトは公開されており、悪用される可能性があります。本問題は早期に問題報告を通じてプロジェクトへ通知されましたが、まだ対応がなされていません。
Dynamics 365 Customer Voice のウェブページ生成時における入力の不適切な無害化（クロスサイトスクリプティング）により、不正な攻撃者がネットワーク経由でなりすましを実行できる可能性があります。
libXfont2のバージョン2.0.8以前のBitmapScaleBitmapsにおけるヒープバッファオーバーフローは、32ビットサイズのオーバーフローが原因であり、Xサーバーにアクセス可能な攻撃者がXサーバー内でコードを実行するために悪用する可能性があります。
libXfont2のComputeScaledProperties()において、2.0.8より前のバージョンでPCFファイルを解析する際にプロパティバッファのサイズチェックが欠如しているため、ヒープバッファオーバーフローが発生します。この脆弱性は、認証されたXクライアントを使用する攻撃者によって、Xサーバー内でコードを実行される可能性があります。
・Vulnerability Note VU#849433 Adalo Database API Enables Cross-App User Data Extraction via Over-Fetching and Missing Authorization Controls
Coderは、組織がTerraformを介してリモート開発環境をプロビジョニングできるようにします。バージョン2.24.5、2.29.13、2.30.8、2.31.12、2.32.2、および2.33.3以前のバージョンでは、`azureidentity.Validate()`はPKCS#7署名者証明書が信頼されたAzure CAに連鎖していることを検証しますが、PKCS#7署名自体の検証は行いません。攻撃者は正当なAzure証明書を任意のコンテンツ（例：`{"vmId":"＜target＞"}`）と共に埋め込むことができ、改ざんされた`vmId`が受け入れられ、被害者のワークスペースエージェントにセッショントークンが返されます。認証は不要です。攻撃者は対象のVMの`vmId`（UUIDv4）を知っているだけでよく、これが実際的な制約となるため、通常は事前アクセスが必要となります。バージョン2.24.5、2.29.13、2.30.8、2.31.12、2.32.2、および2.33.3でこの問題は修正されています。回避策として、Azureテンプレートを`azure-instance-identity`ではなくトークン認証を使用するように再設定してください。
Apache Camel Mail コンポーネントにおける不適切な入力検証および認可されていない者への機密情報露出の脆弱性について説明します。camel-mail のプロデューサー（MailProducer.getSender）は、送信中の Exchange から mail.smtp. / mail.smtps. 名前空間のメッセージヘッダーをスキャンし、これらが存在すると、それらの値を JavaMail セッションプロパティとして適用し、エンドポイントの設定を上書きした JavaMail の送信者をメッセージごとに生成していました。この名前空間は Camel 内部専用であり、MailProducer のみが解釈しますが、HeaderFilterStrategy によってブロックされず、そのため値は任意の受信プロトコル（例：platform-http のクエリパラメータやリクエストヘッダー、あるいは JMS / Kafka の信頼されていないプロデューサーからのメッセージ）から由来し得ます。これらのヘッダーは、中間で removeHeaders による除去を経ることなく、smtp / smtps プロデューサーへとルートを介して流れます。影響の大きさはバージョンに依存します。4.19.0 より前のリリースでは、mail.smtp.host を設定すると SMTP 接続が攻撃者管理下のサーバーへリダイレクトされ、プロデューサーはエンドポイントに設定されたユーザー名とパスワードで認証するため、これらの資格情報が攻撃者に送信されてしまいます。4.19.0 以降では、プロデューサーはエンドポイント設定のホストに明示的に接続するため、影響はホストのリダイレクトではなく、通信のセキュリティ弱体化（例：mail.smtp.ssl.trust、mail.smtp.starttls.enable、mail.smtp.socks.host）や送信メッセージの傍受に限定されます。悪用には、名前空間を取り除かずに信頼できない入力を mail プロデューサーへ通すルートが必要です。本問題は Apache Camel のバージョン 4.0.0 以上 4.14.8 未満、4.15.0 以上 4.18.3 未満、4.19.0 以上 4.21.0 未満に影響します。ユーザーには、本問題を修正したバージョン 4.21.0 へのアップグレードを推奨します。4.14.x の LTS リリースを使用している場合は 4.14.8 へのアップグレードを、4.18.x リリースを使用している場合は 4.18.3 へのアップグレードを推奨しています。アップグレード後はメッセージごとの上書き機能がデフォルトで無効となるため、信頼できるエンドポイントに対してのみ useJavaMailSessionPropertiesFromHeaders=true を設定して有効化してください。すぐにアップグレードできない環境では、信頼されていない入力の侵入点と smtp / smtps プロデューサー間に removeHeaders('mail.smtp.*') および removeHeaders('mail.smtps.*') を挿入して名前空間を除去することが必要です。オプトイン有効化時でも、不信な入力を通すルートには名前空間の除去を必ず行うべきです。
Apache Camel Luceneコンポーネントにおける、不適切な入力検証およびユーザー制御キーを介した認可バイパスの脆弱性です。camel-luceneプロデューサはExchangeヘッダー（LuceneConstants.HEADER_QUERY）から検索フレーズを読み取りますが、その値はプレーン文字列のQUERY（およびHEADER_RETURN_LUCENE_DOCSに対してはRETURN_LUCENE_DOCS）です。これらの名前はCamel / camelプレフィックスで始まらないため、HTTP境界でCamelヘッダ名前空間のみをブロックするHttpHeaderFilterStrategyは、これらをインバウンドHTTPリクエストからそのままExchangeに通過させてしまいます。HTTPコンシューマー（例えばplatform-http）の背後にLuceneクエリ操作を公開するルートでは、任意のHTTPクライアントがQUERYヘッダーを設定し、その値で全文検索インデックスに対してクエリを実行でき、ルートが実行しようとしていたクエリを上書き可能です。インデックスされている内容によっては、リクエストがアクセスすべきでないドキュメントの読み取り（例：すべてにマッチするクエリが全インデックスを返す、またはルートが意図するユーザーごとのフィルターが置き換えられる）や、高価な正規表現クエリによる大幅なCPUリソース消費を引き起こします。HTTPコンシューマーが認証されていない場合、資格情報は不要です。本脆弱性はApache Camelのバージョン4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーは本問題を修正した4.21.0へのアップグレードを推奨します。4.14.x LTS系リリースを利用している場合は4.14.8へのアップグレードを、4.18.xリリース系では4.18.3へのアップグレードを推奨します。アップグレード後、QUERY / RETURN_LUCENE_DOCSの生のヘッダー名でクエリを設定しているルートは、代わりにCamelLuceneQuery（およびCamelLuceneReturnLuceneDocs）を使用する必要があります。すぐにアップグレードできない環境では、Luceneプロデューサの前で攻撃者が制御可能なヘッダーを除去し、信頼できるソースからクエリを設定してください（例：ルートの開始時にremoveHeader('QUERY')とremoveHeader('RETURN_LUCENE_DOCS')を実行した後、setHeader('QUERY', constant(...))を設定すること）。
Apache Camelにおける不適切な入力検証の脆弱性です。この問題はApache Camelのバージョン4.14.7まで、4.15.0から4.18.2まで、4.19.0から4.20.0までに影響します。ユーザーには、この問題を修正したバージョン4.14.8、4.18.3、4.21.0へアップグレードすることを推奨します。
Apache Camelにおける不適切な入力検証の脆弱性が存在します。この問題はApache Camelの以下のバージョンに影響します：4.14.7まで、4.15.0から4.18.2まで、および4.19.0から4.20.0までです。ユーザーはこの問題を修正したバージョンである4.14.8、4.18.3、および4.21.0にアップグレードすることを推奨します。
Apache Camel PQCコンポーネントにおける信頼されていないデータの逆シリアライズ脆弱性について説明します。camel-pqcコンポーネントは、プラガブルなKeyLifecycleManager実装を通じてポスト量子鍵メタデータ（KeyMetadata）を永続化します。HashicorpVaultKeyLifecycleManagerおよびAwsSecretsManagerKeyLifecycleManagerは、構成されたシークレットバックエンドからメタデータをBase64でラップされた値として読み戻しますが、その際にjava.io.ObjectInputStream.readObject()を生のまま使用し、ObjectInputFilterやクラス許可リストを設定していません。KeyMetadataへのキャストはreadObject()の戻り後に行われるため、細工されたオブジェクト内のreadObject()実行中の副作用は型チェックより先に発生します。同様の制御されていない古いマイグレーションの読み込みはFileBasedKeyLifecycleManager（保存されているKeyPairおよびKeyMetadataのため）にも残っています。これらの値を保持するオペレーター管理のバックエンド（HashiCorp VaultのKVパスやAWS Secrets Managerのシークレット）に書き込み権限を持つ主体は、細工されたシリアライズ済オブジェクトを保存でき、通常の鍵ライフサイクル操作中にそのオブジェクトが逆シリアライズされて、鍵管理を行うアプリケーションのコンテキストでコード実行に至る可能性があります。本問題はCVE-2026-40048（CAMEL-23200）に対する不完全な修正の続きであり、FileBasedKeyLifecycleManagerをJSON / PKCS#8 / X.509フォーマットでメタデータを保存するように変更しましたが、ObjectInputFilterの追加は行わず、VaultおよびAWSの関連マネージャーをカバーしておらず、FileBasedKeyLifecycleManager自身の古いマイグレーション逆シリアライズは未だに制御されていません。本件はApache Camelのバージョン4.18.0から4.18.3未満、および4.19.0から4.21.0未満に影響します。ユーザーには問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.18.xのLTSリリースを使用している場合は4.18.3へのアップグレードが推奨されます。即時アップグレードが困難な環境では、鍵バックエンドへの書き込みアクセスを制限し、アプリケーション自身のIDだけがcamel-pqcシークレットを書き込めるように最小権限のHashiCorp Vaultポリシーおよびsecretsmanager:PutSecretValue IAM権限を設定し、PQC鍵マテリアルを信頼度の低い主体が書き込めるデータと分離されたバックエンドに保持することが推奨されます。
Apache Camel Neo4Jコンポーネントにおけるデータクエリロジック内の特殊要素の不適切な中和による脆弱性です。camel-neo4j プロデューサーは、CamelNeo4jMatchProperties マップからマッチ取得および削除操作の Cypher WHERE 句を構築します。CVE-2025-66169 ではプロパティ値をクエリパラメータ（$paramN）としてバインドすることで Cypher インジェクションに対応しましたが、このマップの JSON キーであるプロパティ名は Neo4jProducer.retrieveNodes() と deleteNode() において依然として検証なしにクエリ文字列に連結されていました。そのため、Cypher 構文を含むプロパティ名が実行されるクエリの構造を変更してしまいます。ルートが信頼されていない入力を CamelNeo4jMatchProperties マップにマッピングする場合（例えば、リクエストボディをマッチマップとして渡す場合や、受信した Camel* ヘッダーをフィルター処理しないコンシューマからの場合）、JSON キー名を制御できる攻撃者は任意の Cypher を注入し、Neo4j データベース内の任意のノードやリレーションシップを読み取り、変更、削除することができます。CamelNeo4jMatchProperties ヘッダー自体は Camel プレフィックス付きで HTTP ヘッダーフィルターストラテジーによりフィルターされるため、単純な HTTP クライアントが直接設定することはできません。しかし、この問題は不信なデータをそのヘッダーに意図的または偶発的に運ぶルートを介して到達可能です。この問題は Apache Camel のバージョン 4.10.0 から 4.14.8 未満、4.15.0 から 4.18.3 未満、4.19.0 から 4.21.0 未満に影響します。ユーザーはこの問題を修正したバージョン 4.21.0 へのアップグレードを推奨します。4.14.x LTS リリースストリーム上のユーザーは 4.14.8 へ、4.18.x リリースストリームのユーザーは 4.18.3 へのアップグレードが推奨されます。すぐにアップグレードできない場合は、信頼されていない入力から CamelNeo4jMatchProperties マップを生成しないでください。プロパティ名を Neo4j プロデューサーに渡す前に検証または許可リスト化（例：^[A-Za-z_][A-Za-z0-9_]*$ に対する検証）し、そのようなルートにデータを供給するコンシューマは受信した Camel* / camel* ヘッダーをフィルターして外部送信者からのマッチヘッダーの供給を防いでください。
Apache Camel CXF SOAPコンポーネントにおける不適切な入力検証および意図しないプロキシまたは仲介者（「混乱した代理」）の脆弱性について説明します。camel-cxfのプロデューサーは、バックエンドサービスで呼び出すSOAP操作をoperationName（およびoperationNamespace）というExchangeヘッダーから選択します。これらの定数値（CxfConstants.OPERATION_NAME / OPERATION_NAMESPACE）は、プレーンな文字列であるoperationName / operationNamespaceとして定義されています。これらの名前はCamel / camelというプレフィックスで始まっていないため、HTTP境界上でCamelヘッダ名前空間のみをブロックするHttpHeaderFilterStrategyは、それらをインバウンドHTTPリクエストからExchangeにそのまま通過させてしまいます。そのため、HTTPコンシューマー（例：platform-http）からcxf:プロデューサーへのルートにおいて、任意のHTTPクライアントがoperationNameヘッダーを設定し、CxfProducerがルートの意図とは異なるWSDL操作を解決し呼び出すことが可能となります。例えば、読み取り操作を破壊的な操作に置き換えるなど、バックエンドSOAPサービスに対して混乱した代理のリダイレクトが発生します。この定数は共有されるcamel-cxf-commonモジュールで定義されているため、同様にプレフィックスのない名前はcamel-cxfrsにも適用されます。ブリッジするコンシューマーが認証されていない場合は資格情報を必要としません。この問題はApache Camelの以下のバージョンに影響を及ぼします：4.0.0から4.14.8未満、4.15.0から4.18.3未満、および4.19.0から4.21.0未満です。ユーザーには、この問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.14.xのLTSリリースストリームを使用している場合は4.14.8へアップグレードし、4.18.xリリースストリームを使用している場合は4.18.3へのアップグレードを推奨します。アップグレード後は、操作選択ヘッダーの名前がCamelCxfOperationName / CamelCxfOperationNamespaceに変更され、トランスポート境界でフィルタリングされるようになります。クロストランスポートキャリアヘッダーパターンの詳細については、4.21のアップグレードガイドをご参照ください。すぐにアップグレードできない環境では、信頼できない入力からCXF操作を選択しないように注意してください。cxf:プロデューサーの前で、信頼できない入力経路からoperationNameおよびoperationNamespaceヘッダーを除去し、ルート内の信頼できるソースから操作を設定してください。
Apache Camel の Vertx Websocket コンポーネントには、不適切な入力検証、認可されていないアクターへの機密情報の漏洩、およびサーバーサイドリクエストフォージェリ（SSRF）脆弱性があります。camel-vertx-websocket コンシューマは、受信した WebSocket のクエリおよびパスパラメータを Camel Exchange ヘッダーマップに、HeaderFilterStrategy を適用せずにマッピングしていました（VertxWebsocketConsumer.populateExchangeHeaders()）。Camel ヘッダ名前空間に対して何もブロックされなかったため、WebSocket エンドポイントに接続したクライアントは、クエリパラメータとして指定するだけで Camel 内部制御ヘッダー（CamelHttpUri（Exchange.HTTP_URI）を含む）を設定できました。WebSocket コンシューマが下流の HTTP プロデューサーにデータを渡すルートにおいては、注入された CamelHttpUri によりサーバー側の HTTP リクエストが攻撃者の選択した宛先にリダイレクトされます（サーバーサイドリクエストフォージェリ。例：内部サービスやクラウドのメタデータエンドポイントへのリクエスト）。さらに、HTTP プロデューサーは結果として得られた（攻撃者が制御する）URI 上で Camel プロパティプレースホルダーを解決するため、注入された値内の環境変数参照、アプリケーションプロパティ、あるいはボールト参照のようなプレースホルダーも実際の値に解決され、攻撃者に環境変数、アプリケーションプロパティ、ボールトシークレットが漏洩します。WebSocket エンドポイントが認証なしで公開されている場合、この攻撃は認証されていないリモート攻撃者によって到達可能です。この問題は、Apache Camel のバージョン 4.0.0 以降 4.14.8 未満、4.15.0 以降 4.18.3 未満、4.19.0 以降 4.21.0 未満に影響します。ユーザーはこの問題を修正したバージョン 4.21.0 へのアップグレードを推奨します。4.14.x の LTS リリースを使用している場合は 4.14.8 へ、4.18.x を使用している場合は 4.18.3 へのアップグレードを推奨します。修正では、影響を受けるコンシューマに対して HeaderFilterStrategy を適用し、インバウンドマッピング時に大文字小文字を区別せずに Camel ヘッダ名前空間をフィルタリングすることで、外部から提供された Camel* / camel* ヘッダーが Exchange にコピーされないようにしています。すぐにアップグレードできない環境では、下流のプロデューサーに到達する前に受信メッセージから Camel 制御ヘッダーを除去する（例：ルートの開始時に removeHeaders('Camel*') と removeHeaders('camel*') を実行する）、WebSocket エンドポイントで認証を必須にする、そして信頼されていないコンシューマーを、直接メッセージヘッダーで制御されるターゲット URI を持つ HTTP プロデューサーにブリッジしない運用を推奨します。
DNG SDK バージョン 1.7.1 2536 およびそれ以前のバージョンは、NULL ポインタ参照の脆弱性の影響を受ける可能性があり、これによりアプリケーションがサービス拒否（DoS）状態になる恐れがあります。攻撃者はこの脆弱性を悪用してアプリケーションをクラッシュさせ、サービス拒否の状態を引き起こすことが可能です。この問題を悪用するには、被害者が悪意のあるファイルを開くというユーザー操作が必要です。
Apache AirflowのBulk Variables APIは、変数のキーを渡さずにレダクターを呼び出していたため、`*_password`、`*_token`、`*_secret`のようなシークレットが接尾辞となっているキー名に基づく`should_hide_value_for_key`チェックをJSONデコード可能な変数値に対して適用できませんでした。認証済みのUI/APIユーザーで、Bulk Variablesの読み取り権限を持つ者は、本来レダクションが必要なキーに対応するJSON変数のプレーンテキスト値を取得できてしまう可能性があります。この問題は、シークレット接尾辞のついたキー名を持つJSON型Airflow変数に機密情報を保存している環境に影響を与えます。ユーザーは`apache-airflow`の3.3.0以降（修正は3.2.2以降の`main`ブランチにて適用されており、3.2.x系にはバックポートされていません）へのアップグレードを推奨します。
Apache Camelにおける不適切な入力検証の脆弱性です。この問題はApache Camelのバージョン4.8.0から4.18.2、および4.19.0から4.20.0に影響します。ユーザーには、この問題を修正したバージョン4.18.3および4.21.0へアップグレードすることを推奨します。
Apache CamelのDAPRコンポーネントにおける不適切な入力検証により、意図しないプロキシまたは仲介者（「混乱した代理」）の脆弱性が存在します。camel-daprのDapr Pub/Subコンシューマー（DaprPubSubConsumer）は、受信したCloudEventの各フィールドから2つの値、Pub/Subコンポーネント名とトピックをCamelDaprPubSubNameおよびCamelDaprTopicのExchangeヘッダーにコピーしていました。これら2つのヘッダーはプロデューサ方向のルーティングヘッダーであり、ルートがDaprプロデューサを介して再公開を行う際に、DaprConfigurationOptionsProxyがこれらを読み取り、エンドポイントに設定された宛先よりも優先して利用します。その結果、1つのDapr Pub/Subトピックからメッセージを消費して別のトピックに再公開するルート（例：from('dapr-pubsub:p:t').to('dapr-pubsub:p:other')）において、サブスクライブされたトピックにメッセージを発行できるアクターは、CloudEventのpub/sub-nameとtopicを任意の値に設定可能であり、再公開されるメッセージを意図された宛先ではなく任意のDapr Pub/Subコンポーネントおよびトピックに送信させることができます。これにより、メッセージのリダイレクトや情報漏洩が発生し、ルートの意図したルーティングや基盤となるブローカーのトピックレベルアクセス制御を回避できる恐れがあります。悪用には、ルートがサブスクライブするトピックへの発行権限が必要であり、それ以外の認証やユーザー操作は不要です。この問題は、Apache Camelのバージョン4.12.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーには、この問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.14.xのLTSリリースを使用している場合は4.14.8へのアップグレードを、4.18.xリリースを使用している場合は4.18.3へのアップグレードを推奨します。すぐにアップグレードできない環境では、ルート内のDaprコンシューマーと任意のDaprプロデューサー間のExchangeからCamelDaprPubSubNameおよびCamelDaprTopicヘッダーを削除（例：removeHeaders('CamelDaprPubSubName', 'CamelDaprTopic')）し、信頼できるプロデューサーのみがサブスクライブしているDapr Pub/Subトピックに発行可能となるように制限してください。
apache-airflow 3.3.0より前のバージョンでは、1つのDagの読み取りが許可されたユーザーが、同じソースファイルに共存する他のDagのソースを開示できてしまう問題がありました。`GET /api/v2/dagSources/{dag_id}` およびUIの同等のDagソース表示は、呼び出し元が読み取りを許可されていないDagを省略することなく、ファイル全体のソースを返しており、Dagごとの読み取り認可を回避していました。複数のDagを単一ファイルに共存させているデプロイメントでは、Dagごとのアクセス制御によりソースの表示を制限している場合に影響を受けます。1ファイルあたり1つのDagのデプロイメントには影響がありません。apache-airflowを3.3.0以降にアップグレードしてください。
Apache AirflowのGoogleプロバイダーオペレーターである`GCSToSFTPOperator`および`GCSTimeSpanFileTransformOperator`は、バケットのリスティングAPIから返されたGCSオブジェクト名を正規化や包含チェックを行わずに直接宛先ファイルシステムのパスに結合していました。ソースGCSバケットへの書き込み権限を持つユーザー（通常はDAG作成者とは異なる信頼主体、例えばパートナーのアップロード、取り込み専用サービスアカウント、公開データのバケット）は、名前に`..`セグメントを含むオブジェクトを作成することで、DAG実行時にダウンロードしたBlobを設定された宛先外（`GCSToSFTPOperator`のSFTPの`destination_path`や`GCSTimeSpanFileTransformOperator`のワーカーローカルの一時ディレクトリ）に書き込ませることが可能です。これにより、SFTPサーバーやワーカーホスト上の任意のファイルを上書きできてしまいます。本脆弱性は、より信頼度の低い主体による書き込みが可能なバケットから取り込みを行うデプロイメントに影響します。ユーザーは`apache-airflow-providers-google`をバージョン22.2.1以降にアップグレードすることを推奨します。
Apache CamelのNetty HTTPコンポーネントにおける、機密情報を含むエラーメッセージ生成の脆弱性です。camel-netty-httpのHTTPサーバーコンシューマは、ルート処理中にエラーが発生した場合にクライアントに返される内容を制御するmuteExceptionオプションを提供しています。このオプションはバックフィールドが初期化されていないプリミティブのboolean型（Javaのデフォルトでfalse）であったため、デフォルト値がfalseになっていました。一方で、他のCamel HTTPサーバーコンポーネント（camel-http / camel-jetty / camel-servlet / camel-platform-http）は、このオプションのデフォルト値をtrueに設定しています。muteException=falseの場合、リクエストがルート処理中に例外を引き起こすと、コンシューマは空のレスポンスボディを返す代わりに、HTTPレスポンスの本文にThrowableの完全なスタックトレースをtext/plain形式で（DefaultNettyHttpBinding経由で）書き込みます。認証されていない任意のクライアントがエンドポイントにアクセスし、例えば不正なリクエストボディや無効なパラメータを送信するなどして処理エラーを引き起こすと、完全なJavaのスタックトレースを受け取ってしまいます。このスタックトレースには、例外メッセージに埋め込まれた認証情報、内部ホスト名やIPアドレス、ファイルシステムのパス、依存関係やバージョンの詳細、データベース名やクラス名、さらにはアプリケーションの内部構造などの機密情報が含まれる可能性があり、攻撃者はこれを用いてさらなる攻撃を計画することが可能です。この問題はApache Camelのバージョン4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーはこの問題を修正したバージョン4.21.0へアップグレードすることを推奨します。4.14.x LTSリリースを使用している場合は4.14.8へ、4.18.xリリースを使用している場合は4.18.3へのアップグレードが推奨されます。すぐにアップグレードできない環境では、camel-netty-httpコンシューマのmuteExceptionを明示的にtrueに設定してください（例：netty-http:http://0.0.0.0:8080/api?muteException=true またはグローバルに camel.component.netty-http.configuration.mute-exception=true プロパティを設定してください）。これにより、処理エラー時にスタックトレースがクライアントに返されなくなります。
Hugoは静的サイトジェネレーターです。バージョン0.123.0から0.161.1にかけて、リグレッションによりRootMappingFs.statRootがLstatではなくStat（シンボリックリンクをたどる）を使用するようになりました。そのため、マウント外を指すシンボリックリンクを直接resources.Getで取得すると、ターゲットの内容が返されてしまいました。これにより、ローカルマウント内に植えられたシンボリックリンク（例：vendoredなthemesやテーマ）がHugoユーザーにアクセス可能な任意のファイルを読み取れる状態になっていました。GitHubからのGoモジュールテーマ（シンボリックリンクは除去されます）やディレクトリウォークには影響がありませんでした。この問題はバージョン0.162.0で修正されました。
Dell PowerProtect Data Domain のバージョン 7.7.1.0 から 8.7、および LTS2026 リリースのバージョン 8.6.1.0 から 8.6.1.10、LTS2025 リリースのバージョン 8.3.1.0 から 8.3.1.30、LTS2024 リリースのバージョン 7.13.1.0 から 7.13.1.70 には、OS コマンドに使用される特殊文字の適切な無害化が行われていない（「OS コマンドインジェクション」）という脆弱性があります。リモートの高権限攻撃者がこの脆弱性を悪用すると、保護機構を回避できる恐れがあります。この脆弱性は、攻撃者が root 権限で任意のコマンドを実行できるため、重大な問題です。したがって、Dell は顧客に対し、できるだけ早い機会にアップグレードすることを推奨しています。
Dell PowerProtect Data Domain のバージョン 7.7.1.0 から 8.7、LTS2026 リリースのバージョン 8.6.1.0 から 8.6.1.10、LTS2025 リリースのバージョン 8.3.1.0 から 8.3.1.30、LTS2024 リリースのバージョン 7.13.1.0 から 7.13.1.70 には、不適切なパス名の制限（パス・トラバーサル）脆弱性が存在します。この脆弱性を悪用すると、リモートからアクセス可能な高権限の攻撃者が認可されていないファイルを改ざんする可能性があります。
出典：JVN（Japan Vulnerability Notes・独立行政法人情報処理推進機構（IPA）／JPCERT コーディネーションセンター／jvn.jp）を加工して作成。 全文検索は当サイト収録分（全289,756件）を対象とし、発表日の新しい順に表示しています。 本情報の最新性・正確性・完全性は保証されません。詳細は各 JVN 詳細ページをご確認ください。 なお本情報は製品・ソフトウェアの脆弱性に関するものであり、特定の法人・製品ベンダの評価や信用性を示すものではありません。