JVNDB-2026-031470 | |
Apache Software FoundationのApache Wicketにおける制限またはスロットリング無しのリソースの割り当てに関する脆弱性 | |
| 概要 | |
Apache Wicketは、Apache Commons FileUploadを使用してマルチパートリクエストを解析する際に、フォームまたはアップロードフィールドで設定されたアップロード制限を強制します。もしリクエストボディが他のコンポーネントによってすでに消費されている場合、Commons FileUploadはアイテムを返さず、WicketはHttpServletRequest#getParts()を通じてアップロードを読み取るフォールバック処理を行います。その際に取得されるパーツには、ファイルごとのサイズ制限（例: Form#setFileMaxSize）やファイル数制限（Form#setFileCountMax）が適用されず、例外も発生しないため、これらの制限を満たしたかのようにアップロードが処理されます。その結果、リモートアップローダーはアプリケーションが許可するよりも大きいファイルや、より多くのファイルを、リクエストを解析したコンポーネントが許す範囲まで送信できてしまいます。さらにContent-Typeヘッダーを持たないパーツは、解析中に完全にメモリに読み込まれ、その割り当てサイズはリクエストに依存し、上述の外部制限によってのみ制限されます。これは合計アップロードサイズ制限（Form#setMaxSize）には影響しません。Commons FileUploadは読み込み前に宣言されたContent-Lengthをそれと比較するため、オーバーサイズの長さを宣言したリクエストはフォールバックに到達する前に拒否されます。このフォールバックは、サーブレットやフィルタがすでにリクエストボディを解析しているデプロイメント環境で発生します。例えば@MultipartConfigが付与されたサーブレット、Spring Bootのマルチパートリゾルバ、またはマルチパートリクエストに対してHttpServletRequest#getParameter()を呼び出す任意のフィルタが該当します。この問題は、FileUploadFieldを持つForm、FileUploadToResourceField、AjaxFileDropBehaviorなど、そのパス上でアップロードを受け付けるWicketコンポーネントに影響します。ファイルごとの制限やファイル数の制限を設定していないアプリケーションは影響を受けません。なぜならWicketはこれらの制限をデフォルトで適用しないからです。本問題はApache Wicketのバージョン8.0.0から8.18.0、9.0.0から9.23.0、10.0.0から10.10.0に影響します。ユーザーは本問題を修正したバージョン8.19.0、9.24.0、10.11.0へのアップグレードを推奨します。サポート終了済みのApache Wicket 7.x以前のユーザーは、サポートされているバージョンへのアップグレードが望ましいです。回避策としては、リクエストを解析するコンポーネント側で同等の制限を設定してください。例えば、spring.servlet.multipart.max-file-sizeやmax-request-size、または@MultipartConfigやweb.xml内の＜multipart-config＞要素でのmaxFileSizeやmaxRequestSizeの設定が該当します。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 7.5 (重要) [NVD値]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
|
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/08/31 |
| 登録日 | 2026/09/02 |
| 最終更新日 | 2026/09/02 |
