農水省の電子納品チェックシステムにXXEの脆弱性、任意のファイルを読み取られる可能性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月23日、農林水産省が提供する電子納品チェックシステム（農林水産省農業農村整備事業版）に脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。日本電気株式会社の岩川健人氏、外山拓氏によりIPAに報告された。

　農林水産省が提供する電子納品チェックシステム（農林水産省農業農村整備事業版）には、XML外部実体参照（XXE）に関する脆弱性（CVE-2024-22380）が存在する。CVSS v3による基本値は2.5。影響を受けるシステムは次の通り。

・電子納品チェックシステム（農林水産省農業農村整備事業版）平成31年3月版 Ver.14.0.001.002 およびそれ以前のバージョン

　この脆弱性が悪用されると、細工されたXMLファイルを当該製品に読み込ませることにより、システム内の任意のファイルを読み取られる可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。この脆弱性は、次のバージョンで修正されている。

・電子納品チェックシステム（農林水産省農業農村整備事業版）平成31年3月版 Ver.15.0.001.001