通り道security　毎朝の脆弱性ニュース

毎朝 7:00 更新メールで受け取る

security トップ　／　言語別　／　Java

言語別Maven

Javaの脆弱性　全5件

Java2026.11.10高

Zips の fluent API で ZIP を展開すると、展開先の外にファイルを書き込まれる（パストラバーサル）

org.zeroturnaround:zt-zip　1.18.0 より前　→　1.18.0

やること　1.18.0 以降へ更新してください。すぐに更新できない場合は、信頼できない ZIP の展開に Zips の fluent API を使わず、展開先の外へ出るエントリを拒否する ZipUtil.unpack を使ってください。

GHSA-52c6-99qm-3hqr・CVE-2026-63436読む

Java2026.11.04高

Keycloak の JWT Authorization Grant で署名検証を回避され、連携ユーザーになりすまされる

org.keycloak:keycloak-services　26.6.4 より前　→　26.6.4

やること　Keycloak（keycloak-services）を 26.6.4 以降に更新してください。

GHSA-j97h-3f8r-mrjr・CVE-2026-11800読む

Java2026.10.30高

Keycloak Policy Enforcer で、認証済みの利用者が URL の工夫だけで認可ポリシーをすべて回避できる

org.keycloak:keycloak-services / org.keycloak:keycloak-policy-enforcer　keycloak-services 26.6.4 より前 / keycloak-policy-enforcer 26.0.10 より前　→　keycloak-services 26.6.4 / keycloak-policy-enforcer 26.0.10

やること　keycloak-services は 26.6.4 以降、keycloak-policy-enforcer は 26.0.10 以降へ更新します。

GHSA-f5p5-6xmx-p252・CVE-2026-9800読む

Java2026.10.30高

Keycloak のリダイレクト URI 検証を大文字小文字の違いで回避され、XSS につながる

org.keycloak:keycloak-services　26.6.4 より前　→　26.6.4

やること　26.6.4 以降へ更新します。あわせて、manage-client 権限やクライアント登録エンドポイントを使える利用者を必要最小限に絞ってください。

GHSA-v3f7-2p4r-mwfw・CVE-2026-9086読む

Java2026.10.28高

Guava の CompactHashMap などで、72バイトのシリアライズデータから巨大なメモリ確保

com.google.guava:guava　4.0〜33.7.1　→　33.7.2

やること　33.7.2 へ更新します。あわせて、信頼できないデータを Java の標準シリアライズで読み込んでいないか確認してください。

GHSA-xxph-c9ww-hj94・CVE-2026-102554読む