CVE-2023-40743 in Axis
要約
〜によって VulDB • 2026年05月16日
** 割り当て時にサポートされていない ** ** 割り当て時にサポートされていない ** Apache Axis 1.x をアプリケーションに統合する際、「ServiceFactory.getService」を介したサービスルックアップにより、LDAP などの潜在的に危険なルックアップメカニズムが許可される可能性があることが必ずしも明確ではありませんでした。この API メソッドに信頼できない入力を渡すと、アプリケーションが DoS、SSRF、さらには RCE に至る攻撃に対して脆弱になる可能性があります。
Axis 1 はサポート終了（EOL）となっているため、Apache Axis 2/Java などの別の SOAP エンジンへの移行を推奨します。回避策として、コードを見直して「ServiceFactory.getService」に信頼できない入力が渡されていないか、またはサニタイズされていない入力が渡されていないかを確認するか、https://github.com/apache/axis-axis1-java/commit/7e66753427466590d6def0125e448d2791723210 からのパッチを適用してください。Apache Axis プロジェクトは、この問題を修正する Axis 1.x リリースを作成する予定はありませんが、これに向けて作業したいコントリビューターは歓迎されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.