概要
Go言語でXPathを処理するためのライブラリである github.com/antchfx/xpath コンポーネントに、サービス拒否（DoS）の脆弱性（CVE-2026-4645）が報告されました。この脆弱性は、攻撃者が細工されたBoolean XPath式を送信し、それがシステムによって評価されることで悪用される可能性があります。具体的には、特定のXPath式が logicalQuery.Select 関数内で無限ループを引き起こし、結果としてCPU使用率が100%に達し、システムが応答不能となるサービス拒否状態に陥る恐れがあります。
影響範囲
この脆弱性は、github.com/antchfx/xpath ライブラリを使用しているシステムやアプリケーションに影響を与える可能性があります。具体的な影響バージョンについては、現時点では詳細が提供されていませんが、このコンポーネントを組み込んでいる製品は潜在的なリスクを抱えていると考えられます。
想定される影響
- サービス拒否（DoS）: 脆弱性を持つシステムが応答不能となり、提供しているサービスが停止する可能性があります。
- CPUリソースの枯渇: 無限ループにより、影響を受けるシステムのCPUリソースが継続的に100%消費され、他の重要なプロセスが実行できなくなる恐れがあります。
- 業務停止: 影響を受けるアプリケーションが停止することで、関連する業務プロセスに重大な支障が生じる可能性があります。
攻撃成立条件・悪用状況
攻撃を成立させるためには、以下の条件が考えられます。
- 攻撃者は、脆弱性を持つシステムに対して、細工されたBoolean XPath式をリモートから送信できる必要があります。
- 送信されたXPath式が、
github.com/antchfx/xpathライブラリのlogicalQuery.Select関数によって評価される必要があります。
現時点では、この脆弱性の具体的な悪用状況や概念実証（PoC）コードの公開に関する情報は報告されていません。
推奨対策
今すぐできる対策
- ライブラリのアップデート:
github.com/antchfx/xpathライブラリのベンダーから提供される修正パッチや最新バージョンへの更新を最優先で検討してください。これにより、脆弱性が修正され、サービス拒否のリスクを排除できます。
中長期的な対策
- 入力値の厳格な検証: XPath式を処理する前に、ユーザーからの入力値が不正な形式でないか、または悪意のあるパターンを含んでいないかを厳格に検証する仕組みを導入することを検討してください。
- システムリソースの監視強化: CPU使用率などのシステムリソースを継続的に監視し、異常なスパイクを検知した際にアラートを発する体制を構築することで、攻撃の兆候を早期に発見し、対応できる可能性が高まります。
一時的な緩和策
現時点では、この脆弱性に対する具体的な一時的な緩和策は報告されていません。可能であれば、影響を受けるコンポーネントへの外部からのアクセスを制限するなどの対策が考えられますが、これは根本的な解決にはなりません。最新版へのアップデートが最も効果的な対策です。
確認方法
- ご自身のシステムやアプリケーションが
github.com/antchfx/xpathライブラリを使用しているかを確認してください。 - 使用している場合、そのバージョンが脆弱性の影響を受けるバージョンであるかを確認し、最新版への更新を検討してください。ただし、現時点では影響を受ける具体的なバージョンは明記されていないため、常に最新版を利用することが推奨されます。
参考情報
- CVE-2026-4645 詳細情報: https://cvefeed.io/vuln/detail/CVE-2026-4645