vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-006706

AssertJにおけるXML 外部エンティティの脆弱性

9.1
2026/03/11 16:07
CVE-2026-24400
JVNDB-2026-006706
AssertJにおけるXML 外部エンティティの脆弱性
概要
AssertJはJavaおよびJava仮想マシン（JVM）向けのFluentテストアサーションを提供するツールです。バージョン1.4.0から3.27.7未満の間、`org.assertj.core.util.xml.XmlStringPrettyFormatter`にXML外部エンティティ（XXE）脆弱性が存在していました。具体的には、`toXmlDocument(String)`メソッドが`DocumentBuilderFactory`をデフォルト設定で初期化しており、DTDや外部エンティティを無効化していなかったためです。このフォーマッターは、`CharSequence`値に対する`isXmlEqualTo(CharSequence)`アサーションで使用されています。アプリケーションが信頼されていないXML入力を`org.assertj.core.api.AbstractCharSequenceAssert`の`isXmlEqualTo(CharSequence)`または`org.assertj.core.util.xml.XmlStringPrettyFormatter`の`xmlPrettyFormat(String)`で処理すると脆弱性が生じます。これらのメソッドで信頼されていないXML入力を処理する場合、攻撃者は`file://`URI（例：`/etc/passwd`やアプリケーション設定ファイル）を介して任意のローカルファイルを読み取ったり、HTTP/HTTPS URIを利用したサーバーサイドリクエストフォージェリ（SSRF）を行ったり、「ビリオンラフ」エンティティ展開攻撃によるサービス拒否（DoS）を引き起こす可能性があります。`isXmlEqualTo(CharSequence)`はバージョン3.18.0でXMLUnitに置き換えられ非推奨となり、バージョン4.0で削除される予定です。影響を受けるバージョンのユーザーには、優先的に`isXmlEqualTo(CharSequence)`をXMLUnitに置き換えること、バージョン3.27.7にアップグレードすること、または信頼されていない入力に対して`isXmlEqualTo(CharSequence)`や`XmlStringPrettyFormatter`を使用しないことを推奨します。`XmlStringPrettyFormatter`はこれまで`isXmlEqualTo(CharSequence)`のユーティリティとして扱われており、バージョン3.27.7で非推奨となり、4.0で削除されますが代替手段はありません。
想定される影響と対策
当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報について、書き換えは発生しません。 さらに、当該ソフトウェアが完全に停止する可能性があります。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。
正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 9.1
CVECVE-2026-24400
公表日2026/01/26 00:00
登録日2026/03/11 16:07
更新日2026/03/11 16:07
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン