| タイトル | Quarkusにおける複数の脆弱性 |
|---|---|
| 概要 | Quarkusはクラウドネイティブアプリケーションを構築するためのJavaフレームワークです。バージョン3.37.0、3.36.3、3.33.2.1、3.33.3、3.27.4.1、3.27.5、および3.20.6.2以前のQuarkusでは、HTTPパスベースの認可ポリシーが、エンコードされたセミコロン（%3B）を使用してマトリクスパラメータをセキュリティレイヤーを通過させたり、エンコードされたスラッシュ（%2F）やバックスラッシュ（%5C）を使用して保護された静的リソースにアクセスしたりすることで回避される可能性がありました。これは、リテラルセミコロンの除去のみに対する問題とは異なります。この問題に対する修正はバージョン3.37.0、3.36.3、3.33.2.1、3.33.3、3.27.4.1、3.27.5、および3.20.6.2に含まれています。 |
| 想定される影響 | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| 対策 | ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年6月19日0:00 |
| 登録日 | 2026年6月29日11:13 |
| 最終更新日 | 2026年6月29日11:13 |
| CVSS3.0 : 重要 | |
| スコア | 7.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Quarkus |
| Quarkus 3.20.6.2 未満 |
| Quarkus 3.21.0 以上 3.27.4.1 未満 |
| Quarkus 3.28.0 以上 3.33.2.1 未満 |
| Quarkus 3.34.0 以上 3.36.3 未満 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年06月29日] 掲載 |
2026年6月29日11:13 |
| 概要 | Quarkus is a Java framework for building cloud-native applications. Prior to versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2, Quarkus HTTP path-based authorization policies can be bypassed using encoded semicolons (%3B) to smuggle matrix parameters past the security layer, and using encoded slashes (%2F) or backslashes (%5C) to access protected static resources. This is a distinct issue from CVE-2026-39852, which addressed only literal semicolon stripping. Versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2 contain a patch. |
|---|---|
| 公表日 | 2026年6月20日6:17 |
| 登録日 | 2026年6月27日4:07 |
| 最終更新日 | 2026年6月24日1:04 |