国交省の電子納品関連システムにXXEの脆弱性、任意のファイルを読み取られる可能性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月23日、国土交通省が提供する「電子納品チェックシステム」および「電子納品物検査支援システム」に脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。日本電気株式会社の外山拓氏、岩川健人氏、およびNECフィールディング株式会社の河内愛実氏によりIPAに報告された。

　国土交通省が提供する「電子納品チェックシステム」および「電子納品物検査支援システム」には、XML外部実体参照（XXE）に関する脆弱性（CVE-2024-21765）が存在する。CVSS v3による基本値は2.5。影響を受けるシステムは次の通り。

・電子納品チェックシステム（土木）Ver.18.1.0 およびそれ以前
・電子納品チェックシステム（電通）Ver.12.1.0 およびそれ以前
・電子納品チェックシステム（機械）Ver.10.1.0 およびそれ以前
・電子納品物検査支援システム Ver.4.0.31 およびそれ以前

　この脆弱性が悪用されると、細工されたXMLファイルを当該製品に読み込ませることにより、システム内の任意のファイルを読み取られる可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。