JVNDB-2026-036531

Apache Software FoundationのApache WSS4Jにおける入力確認に関する脆弱性

Apache WSS4Jは、攻撃者が制御する派生キーの長さおよびオフセットを適切な制限なく受け入れていました。これにより、暗号的に弱いキーが使用されたり、細工されたWS-Securityメッセージを処理する際に過剰なCPUおよびメモリの消費が発生したりする可能性があります。修正では、最小キー長を16バイト、最大キー長を512バイト、最大オフセットを4096バイトに制限しています。ユーザーには、この問題を修正したバージョン4.0.2、3.0.6、または2.4.4にアップグレードすることを推奨します。

Apache Software Foundation

• Apache WSS4J 2.4.4 未満
• Apache WSS4J 3.0.0 以上 3.0.6 未満
• Apache WSS4J 4.0.0 以上 4.0.2 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-85532: Apache WSS4J: Insufficient Validation of Derived-Key Parameters - ASF Mailing List Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-85532: Apache WSS4J: Insufficient Validation of Derived-Key Parameters

1. 不適切な入力確認(CWE-20) [その他]

1. CVE-2026-85532

1. National Vulnerability Database (NVD) : CVE-2026-85532

• [2026年10月05日]
    掲載