JVNDB-2026-031469 | |
Apache Software FoundationのApache Wicketにおけるクロスサイトリクエストフォージェリの脆弱性 | |
| 概要 | |
ResourceIsolationRequestCycleListenerは、リソース隔離ポリシーが別のオリジンからのものであると判断したリクエストを拒否することにより、Wicketアプリケーションをクロスサイトリクエストフォージェリから保護します。そのデフォルトポリシーであるFetchMetadataResourceIsolationPolicyは、静的リソースを保護するために作成されたリファレンス実装から派生したものであり、ページ上のアクションを保護する場合には安全でない2つの許容を継承しています。 * すべての「シンプルなトップレベルナビゲーション」が許可されていました。Sec-Fetch-Mode: navigateを含み、Sec-Fetch-Destがobjectでもembedでもない任意のGETリクエストは、Sec-Fetch-Siteの値が何であれ（クロスサイトを含む）許可されていました。Wicketはコンポーネントリスナー（Link.onClick()、フォーム送信、ビヘイビアコールバック）を通常のGETナビゲーション経由で呼び出すため、攻撃者が制御するページが被害者のブラウザをリスナーURLへナビゲートさせ、被害者の認証済みセッション内でリスナーを実行させることが可能でした。ブラウザはSameSite属性が設定されていない場合の実質的なデフォルトであるSameSite=LaxクッキーをクロスサイトのトップレベルGETナビゲーションで送信するため、被害者のセッションクッキーがリクエストに含まれていました。 * Sec-Fetch-Site: same-siteは無条件に許可されていました。この値は同じ登録可能ドメインとスキームを意味しますが異なるオリジンであり、すなわち別のサブドメインまたは別のポートを指します。したがって、任意の兄弟オリジンは任意のメソッドで任意のリスナーを呼び出すことができ（POSTフォーム送信も含む）、同じサイト内リクエストではSameSiteにかかわらず常にクッキーが送信されます。サブドメインの乗っ取り、委譲されたユーザーコンテンツ、またはサイト内の他の場所におけるXSSを介して得られた敵対的な兄弟オリジンは、認証済みユーザーとして行動できます。ユーザーはこの問題を修正したバージョン9.24.0または10.11.0へのアップグレードを推奨します。影響を受けるバージョンは以下のとおりです。 * Apache Wicket 9.1.0から9.23.0まで * Apache Wicket 10.0.0から10.10.0まで 影響を受けないバージョンは以下のとおりです。 9.1.0より古いすべてのリリース: * Apache Wicket 8.x（8.0.0から8.17.0まで）。8.x系にはリソース隔離クラスは存在せず、Origin/RefererベースのCsrfPreventionRequestCycleListenerのみが提供されています。8.x系の任意のリリースに修正は必要ありません。 * Apache Wicket 9.0.0。ResourceIsolationRequestCycleListenerおよびFetchMetadataResourceIsolationPolicyはWICKET-6786により導入され、最初に9.1.0（2020-10-07リリース）で出荷されました。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 4.6 (警告) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
|
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/08/31 |
| 登録日 | 2026/09/02 |
| 最終更新日 | 2026/09/02 |
