JVNDB-2026-006706

AssertJにおけるXML 外部エンティティの脆弱性

AssertJはJavaおよびJava仮想マシン（JVM）向けのFluentテストアサーションを提供するツールです。バージョン1.4.0から3.27.7未満の間、`org.assertj.core.util.xml.XmlStringPrettyFormatter`にXML外部エンティティ（XXE）脆弱性が存在していました。具体的には、`toXmlDocument(String)`メソッドが`DocumentBuilderFactory`をデフォルト設定で初期化しており、DTDや外部エンティティを無効化していなかったためです。このフォーマッターは、`CharSequence`値に対する`isXmlEqualTo(CharSequence)`アサーションで使用されています。アプリケーションが信頼されていないXML入力を`org.assertj.core.api.AbstractCharSequenceAssert`の`isXmlEqualTo(CharSequence)`または`org.assertj.core.util.xml.XmlStringPrettyFormatter`の`xmlPrettyFormat(String)`で処理すると脆弱性が生じます。これらのメソッドで信頼されていないXML入力を処理する場合、攻撃者は`file://`URI（例：`/etc/passwd`やアプリケーション設定ファイル）を介して任意のローカルファイルを読み取ったり、HTTP/HTTPS URIを利用したサーバーサイドリクエストフォージェリ（SSRF）を行ったり、「ビリオンラフ」エンティティ展開攻撃によるサービス拒否（DoS）を引き起こす可能性があります。`isXmlEqualTo(CharSequence)`はバージョン3.18.0でXMLUnitに置き換えられ非推奨となり、バージョン4.0で削除される予定です。影響を受けるバージョンのユーザーには、優先的に`isXmlEqualTo(CharSequence)`をXMLUnitに置き換えること、バージョン3.27.7にアップグレードすること、または信頼されていない入力に対して`isXmlEqualTo(CharSequence)`や`XmlStringPrettyFormatter`を使用しないことを推奨します。`XmlStringPrettyFormatter`はこれまで`isXmlEqualTo(CharSequence)`のユーティリティとして扱われており、バージョン3.27.7で非推奨となり、4.0で削除されますが代替手段はありません。

AssertJ

• AssertJ 1.4.0 以上 3.27.7 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : XML External Entity (XXE) vulnerability when parsing untrusted XML via `isXmlEqualTo` assertion  Advisory  assertj/assertj  GitHub

1. XML 外部エンティティ参照の不適切な制限(CWE-611) [その他]

1. CVE-2026-24400

1. National Vulnerability Database (NVD) : CVE-2026-24400
2. 関連文書 : Deprecate `XmlStringPrettyFormatter`  assertj/assertj@85ca7eb  GitHub
3. 関連文書 : Release v3.27.7  assertj/assertj  GitHub
4. 関連文書 : XML External Entity Prevention - OWASP Cheat Sheet Series

• [2026年03月11日]
    掲載