JVNDB-2026-027114

Apache Software FoundationのAxis2/Javaにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Apache Software FoundationのApache Axis2/Java 2.0.0までのApache Tomcat上のTribesベースのクラスタリングコンポーネントにおける信頼されていないデータのデシリアライズ（CWE-502）は、（デフォルトで無効になっているTribesクラスタリングが有効な場合に限り）ネットワークアクセスを持つ認証されていない遠隔攻撃者がクラスタリングポートを介して細工されたシリアライズ済みJavaオブジェクトをクラスターチャネルに送信し、org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceivedでデシリアライズされることで任意のコードを実行することを可能にします。ユーザーはこの問題を解決するために、クラスタリング機能自体を完全に削除したバージョン2.0.1へアップグレードすることを推奨します。

Apache Software Foundation

• Axis2/Java 2.0.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-66713: Apache Axis2/Java: deserialization of untrusted Data-Apache Mail Archives

Openwall

• Openwall : oss-security - CVE-2026-66713: Apache Axis2/Java: deserialization of untrusted Data

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-66713

1. National Vulnerability Database (NVD) : CVE-2026-66713
2. 関連文書 : AXIS2-6097 Remove Clustering feature  apache/axis-axis2-java-core@e6f53b2  GitHub

• [2026年08月06日]
    掲載