JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-031482 Apache WicketにおけるリソースURL属性の不適切な検証により、認証されていないリモート攻撃者がWEB-INF以下のサーブレットコンテナが通常提供しないファイルを含む、ウェブアプリケーションのファイルを読み取ることが可能となります。パッケージリソースURLからデコードされたlocale、style、およびvariation属性は、パス区切り文字のチェックをせずにリソース検索パスに連結されます。IPackageResourceGuardは、「..」の拒否を含む2つの意図された制御の1つとしてリソース名に適用されますが、これらの属性が追加される前に適用されます。また、WebApplicationPathは文字通りにWEB-INF/で始まるパスのみを拒否します。どちらの制御も攻撃者が操作可能なパスの部分を検査しません。ServletContext.getResource()で「..」を正規化するサーブレットコンテナにおいては、巧妙に作られたリクエストにより意図されたパッケージディレクトリから脱出可能です。読み取り可能なファイルのセットは、設定されたIPackageResourceGuardで許可されたファイル拡張子に制限されます。デフォルトのSecurePackageResourceGuardはjs、css、png、jpg、jpeg、gif、ico、cur、map、html、txt、swf、bmp、svg、avif、eot、ttf、woffおよびwoff2のみを許可し、設定ファイル形式は除外しています。ガードにパターンを追加したり、ブロックリストベースのPackageResourceGuardに置き換えたりしたアプリケーションは、web.xmlなどの設定ファイルをさらに開示する可能性があります。拡張子に関わらず、ガードが動作する前に実施される検索は、任意のパスの存在有無を判定する「存在オラクル」として機能します。この問題はApache Wicket 8.18.0以前、9.23.0以前および10.10.0以前に影響します。ユーザーにはこの問題を修正したバージョン8.19.0、9.24.0、または10.11.0へのアップグレードを推奨します。すでにサポートされていないApache Wicket 7.x以前のユーザーは、サポートされているバージョンにアップグレードすべきです。 cpe:/a:apache:wicket https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-031482.html Common Vulnerabilities and Exposures (CVE) CVE-2026-70449 https://www.cve.org/CVERecord?id=CVE-2026-70449 National Vulnerability Database (NVD) CVE-2026-70449 https://nvd.nist.gov/vuln/detail/CVE-2026-70449 Pony Mail CVE-2026-70449: Apache Wicket: Path traversal in resource style/variation/locale-Apache Mail Archives https://lists.apache.org/thread/f4pb2q2ksdsfv1o315slp36dx66bf5vg JVNDB CWE-22 https://jvndb.jvn.jp/ja/cwe/CWE-22.html Openwall mailing list archives oss-security - CVE-2026-70449: Apache Wicket: Path traversal in resource style/variation/locale http://www.openwall.com/lists/oss-security/2026/08/30/3 2026-09-02T14:50:06+09:00 2026-09-02T14:50:06+09:00