防衛省の電子納品関連ツールにXXEの脆弱性、任意のファイルを読み取られる可能性

　独立行政法人情報処理推進機構（IPA）および一般社団法人JPCERT コーディネーションセンター（JPCERT/CC）は1月23日、防衛省が提供する「電子納品物作成支援ツール（工事版）」および「電子納品物作成支援ツール（業務版）」に脆弱性が存在すると「Japan Vulnerability Notes（JVN）」で発表した。日本電気株式会社の外山拓氏によりIPAに報告された。

　防衛省が提供する「電子納品物作成支援ツール（工事版）」および「電子納品物作成支援ツール（業務版）」には、XML外部実体参照（XXE）に関する脆弱性（CVE-2024-21796）が存在する。CVSS v3による基本値は2.5。影響を受けるシステムは次の通り。

・電子納品物作成支援ツール（工事版）Ver1.0.4 より前のバージョン
・電子納品物作成支援ツール（業務版）Ver1.0.4 より前のバージョン

　この脆弱性が悪用されると、細工されたXMLファイルを当該製品に読み込ませることにより、システム内の任意のファイルを読み取られる可能性がある。

　JVNでは、開発者が提供する情報をもとに最新版にアップデートするよう呼びかけている。