AlmaLinux 9.2 [TuxCare] セキュリティ更新:assertj-core / assertj-core-javadoc(ALMALINUX9.2:CLSA-2026:1788881384)

high Nessus プラグイン ID 352705

Language:

概要

AlmaLinuxホストに1つ以上のセキュリティ更新プログラムがありません。

説明

AlmaLinux 9.2 ホストには、TuxCare ALMALINUX9.2:CLSA-2026:1788881384アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

- AssertJ は、Java および Java 仮想マシン (JVM) の Fluent テストアサーションを提供します。バージョン 1.4.0 からバージョン 3.27.7 より前のバージョンでは、「org.assertj.core.util.xml.XmlStringPrettyFormatter」に XML 外部エンティティ(XXE)の脆弱性が存在します:「toXmlDocument(String)」メソッドは、DTD または外部エンティティを無効にせずに、「DocumentBuilderFactory」をデフォルト設定で初期化します。このフォーマッターは、「CharSequence」値に対する「isXmlEqualTo(CharSequence)」アサーションによって使用されます。アプリケーションが脆弱になるのは、「org.assertj.core.api.AbstractCharSequenceAssert」からの「isXmlEqualTo(CharSequence)」または「org.assertj.core.util.xml.XmlStringPrettyFormatter」からの「xmlPrettyFormat(String)」のいずれかが含まれている信頼できない XML 入力を使用する場合のみです。信頼されない XML 入力がこれらのメソッドのトーンで処理されると、攻撃者が「file://」URI を介して任意のローカルファイルを読み取る可能性があります(例:「/etc/passwd」、アプリケーション構成ファイル)。HTTP/HTTPS URI を介してサーバー側のリクエスト偽造(SSRF)を実行したり、Billion Laughs エンティティ拡張攻撃を介してサービス拒否を引き起こしたりする可能性があります。「isXmlEqualTo(CharSequence)」はバージョン 3.18.0 で廃止され、XMLUnit が使用され、バージョン 4.0 で削除されます。影響を受けるバージョンのユーザーは、優先順に「isXmlEqualTo(CharSequence)」を XMLUnit に置き換えるか、バージョン 3.27.7 にアップグレードするか、信頼できない入力で「isXmlEqualTo(CharSequence)」または「XmlStringPrettyFormatter」の使用を避ける必要があります。
「XmlStringPrettyFormatter」は、これまで AssertJ ユーザー向けの機能ではなく、「isXmlEqualTo(CharSequence)」用のユーティリティであると考えられてきました。そのため、バージョン 3.27.7 で廃止され、バージョン 4.0 で置き換えなしで削除されています。(CVE-2026-24400)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。