| Title | Quarkusにおける複数の脆弱性 |
|---|---|
| Summary | Quarkusはクラウドネイティブアプリケーションを構築するためのJavaフレームワークです。バージョン3.37.0、3.36.3、3.33.2.1、3.33.3、3.27.4.1、3.27.5、および3.20.6.2以前のQuarkusでは、HTTPパスベースの認可ポリシーが、エンコードされたセミコロン（%3B）を使用してマトリクスパラメータをセキュリティレイヤーを通過させたり、エンコードされたスラッシュ（%2F）やバックスラッシュ（%5C）を使用して保護された静的リソースにアクセスしたりすることで回避される可能性がありました。これは、リテラルセミコロンの除去のみに対する問題とは異なります。この問題に対する修正はバージョン3.37.0、3.36.3、3.33.2.1、3.33.3、3.27.4.1、3.27.5、および3.20.6.2に含まれています。 |
| Possible impacts | ・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う情報について、書き換えは発生しません。 ・当該ソフトウェアは停止しません。 |
| Solution | ベンダ情報を参照して適切な対策を実施してください。 |
| Publication Date | June 19, 2026, midnight |
| Registration Date | June 29, 2026, 11:13 a.m. |
| Last Update | June 29, 2026, 11:13 a.m. |
| CVSS3.0 : 重要 | |
| Score | 7.5 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
| Quarkus |
| Quarkus 3.20.6.2 未満 |
| Quarkus 3.21.0 以上 3.27.4.1 未満 |
| Quarkus 3.28.0 以上 3.33.2.1 未満 |
| Quarkus 3.34.0 以上 3.36.3 未満 |
| No | Changed Details | Date of change |
|---|---|---|
| 1 | [2026年06月29日] 掲載 |
June 29, 2026, 11:13 a.m. |
| Summary | Quarkus is a Java framework for building cloud-native applications. Prior to versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2, Quarkus HTTP path-based authorization policies can be bypassed using encoded semicolons (%3B) to smuggle matrix parameters past the security layer, and using encoded slashes (%2F) or backslashes (%5C) to access protected static resources. This is a distinct issue from CVE-2026-39852, which addressed only literal semicolon stripping. Versions 3.37.0, 3.36.3, 3.33.2.1, 3.33.3, 3.27.4.1, 3.27.5, and 3.20.6.2 contain a patch. |
|---|---|
| Publication Date | June 20, 2026, 6:17 a.m. |
| Registration Date | June 27, 2026, 4:07 a.m. |
| Last Update | June 24, 2026, 1:04 a.m. |