【CVE-2024-45490】libexpatにXML外部エンティティの脆弱性、深刻度9.8の緊急対応が必要に

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

libexpatにXML外部エンティティの脆弱性
CVE-2024-45490として識別された深刻な脆弱性
libexpat 2.6.3未満のバージョンが影響を受ける

libexpatの脆弱性が与える影響と対策

libexpat projectは、XML外部エンティティの脆弱性を含むlibexpatの問題を公開した。この脆弱性はCVE-2024-45490として識別され、CVSS v3による深刻度基本値が9.8（緊急）と評価されている。攻撃元区分がネットワークで、攻撃条件の複雑さが低いため、潜在的な被害が大きいと考えられる。^[1]

影響を受けるのはlibexpat 2.6.3未満のバージョンであり、この脆弱性を悪用されると情報の取得や改ざん、さらにはサービス運用妨害（DoS）状態に陥る可能性がある。攻撃に必要な特権レベルが不要で、利用者の関与も必要ないことから、攻撃者にとって非常に魅力的なターゲットとなっているのが現状だ。

対策としては、ベンダーが公開しているアドバイザリやパッチ情報を参照し、適切な対応を取ることが推奨される。CWEによる脆弱性タイプは「XML外部エンティティ参照の不適切な制限（CWE-611）」に分類されており、XMLパーサーの設定や入力のサニタイズなど、開発者側での対策も重要になってくるだろう。

libexpat脆弱性の詳細

項目	詳細
影響を受けるバージョン	libexpat 2.6.3未満
CVE識別子	CVE-2024-45490
CVSS v3深刻度基本値	9.8（緊急）
攻撃元区分	ネットワーク
攻撃条件の複雑さ	低
想定される影響	情報取得、情報改ざん、DoS状態
CWE分類	XML外部エンティティ参照の不適切な制限（CWE-611）

XML外部エンティティについて

XML外部エンティティとは、XMLドキュメント内で外部リソースを参照するための機能であり、主な特徴として以下のような点が挙げられる。

外部ファイルやURLからデータを取得可能
DTD（Document Type Definition）内で定義される
エンティティ参照を使用してXML内で展開される

XML外部エンティティの脆弱性は、不適切に構成されたXMLパーサーが悪意のある外部エンティティを処理することで発生する。攻撃者はこの脆弱性を利用して、サーバー上のファイルを読み取ったり、内部ネットワークをスキャンしたり、さらにはサービス拒否攻撃を引き起こす可能性がある。libexpatの脆弱性はこの種の攻撃を可能にする危険性を秘めているのだ。

libexpatの脆弱性に関する考察

libexpatの脆弱性が公開されたことで、XMLパーシングの安全性に対する再評価が必要になるだろう。特に、広く使用されているライブラリであるため、影響範囲が非常に広いと考えられる。今後、この脆弱性を悪用した攻撃が増加する可能性が高く、早急なパッチ適用が求められる状況だ。

一方で、この事例はオープンソースソフトウェアのセキュリティ管理の難しさも浮き彫りにしている。コミュニティベースの開発モデルでは、脆弱性の発見と修正に時間がかかる場合があり、その間にシステムが危険にさらされる可能性がある。今後は、自動化されたセキュリティテストやコード解析ツールの導入を積極的に行い、脆弱性の早期発見と修正のサイクルを短縮することが重要になるだろう。

また、この脆弱性対応を契機に、XMLパーシングのセキュリティベストプラクティスの見直しが進むことが期待される。外部エンティティの無効化やサニタイズ処理の徹底など、より安全なXML処理方法の採用が広まることで、同様の脆弱性の再発防止につながるのではないだろうか。libexpatの開発者コミュニティには、今回の経験を活かしたさらなるセキュリティ強化が求められる。