原文

Apache WicketにおけるリソースURL属性の不適切な検証により、認証されていないリモート攻撃者がWEB-INF以下のサーブレットコンテナが通常提供しないファイルを含む、ウェブアプリケーションのファイルを読み取ることが可能となります。パッケージリソースURLからデコードされたlocale、style、およびvariation属性は、パス区切り文字のチェックをせずにリソース検索パスに連結されます。IPackageResourceGuardは、「..」の拒否を含む2つの意図された制御の1つとしてリソース名に適用されますが、これらの属性が追加される前に適用されます。また、WebApplicationPathは文字通りにWEB-INF/で始まるパスのみを拒否します。どちらの制御も攻撃者が操作可能なパスの部分を検査しません。ServletContext.getResource()で「..」を正規化するサーブレットコンテナにおいては、巧妙に作られたリクエストにより意図されたパッケージディレクトリから脱出可能です。読み取り可能なファイルのセットは、設定されたIPackageResourceGuardで許可されたファイル拡張子に制限されます。デフォルトのSecurePackageResourceGuardはjs、css、png、jpg、jpeg、gif、ico、cur、map、html、txt、swf、bmp、svg、avif、eot、ttf、woffおよびwoff2のみを許可し、設定ファイル形式は除外しています。ガードにパターンを追加したり、ブロックリストベースのPackageResourceGuardに置き換えたりしたアプリケーションは、web.xmlなどの設定ファイルをさらに開示する可能性があります。拡張子に関わらず、ガードが動作する前に実施される検索は、任意のパスの存在有無を判定する「存在オラクル」として機能します。この問題はApache Wicket 8.18.0以前、9.23.0以前および10.10.0以前に影響します。ユーザーにはこの問題を修正したバージョン8.19.0、9.24.0、または10.11.0へのアップグレードを推奨します。すでにサポートされていないApache Wicket 7.x以前のユーザーは、サポートされているバージョンにアップグレードすべきです。