JVNDB-2026-031482

Apache Software FoundationのApache Wicketにおけるパストラバーサルの脆弱性

Apache WicketにおけるリソースURL属性の不適切な検証により、認証されていないリモート攻撃者がWEB-INF以下のサーブレットコンテナが通常提供しないファイルを含む、ウェブアプリケーションのファイルを読み取ることが可能となります。パッケージリソースURLからデコードされたlocale、style、およびvariation属性は、パス区切り文字のチェックをせずにリソース検索パスに連結されます。IPackageResourceGuardは、「..」の拒否を含む2つの意図された制御の1つとしてリソース名に適用されますが、これらの属性が追加される前に適用されます。また、WebApplicationPathは文字通りにWEB-INF/で始まるパスのみを拒否します。どちらの制御も攻撃者が操作可能なパスの部分を検査しません。ServletContext.getResource()で「..」を正規化するサーブレットコンテナにおいては、巧妙に作られたリクエストにより意図されたパッケージディレクトリから脱出可能です。読み取り可能なファイルのセットは、設定されたIPackageResourceGuardで許可されたファイル拡張子に制限されます。デフォルトのSecurePackageResourceGuardはjs、css、png、jpg、jpeg、gif、ico、cur、map、html、txt、swf、bmp、svg、avif、eot、ttf、woffおよびwoff2のみを許可し、設定ファイル形式は除外しています。ガードにパターンを追加したり、ブロックリストベースのPackageResourceGuardに置き換えたりしたアプリケーションは、web.xmlなどの設定ファイルをさらに開示する可能性があります。拡張子に関わらず、ガードが動作する前に実施される検索は、任意のパスの存在有無を判定する「存在オラクル」として機能します。この問題はApache Wicket 8.18.0以前、9.23.0以前および10.10.0以前に影響します。ユーザーにはこの問題を修正したバージョン8.19.0、9.24.0、または10.11.0へのアップグレードを推奨します。すでにサポートされていないApache Wicket 7.x以前のユーザーは、サポートされているバージョンにアップグレードすべきです。

Apache Software Foundation

• Apache Wicket 10.0.0 以上 10.11.0 未満
• Apache Wicket 8.0.0 以上 8.19.0 未満
• Apache Wicket 9.0.0 以上 9.24.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-70449: Apache Wicket: Path traversal in resource style/variation/locale-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-70449: Apache Wicket: Path traversal in resource style/variation/locale

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-70449

1. National Vulnerability Database (NVD) : CVE-2026-70449

• [2026年09月02日]
    掲載