JVN#14762986: e-Taxソフトにおける XML 外部実体参照 (XXE) に関する脆弱性

国税庁が提供する e-Taxソフトには、同製品が内包する XML パーサの実装方法に起因した XML 外部実体参照 (XXE) に関する脆弱性が存在します。

国税庁が提供する e-Taxソフトには、同製品が内包する XML パーサの実装方法に起因した XML 外部実体参照 (XXE) に関する脆弱性 (CWE-611) が存在します。

細工された XML ファイルを当該製品に読み込ませることにより、システム内の任意のファイルを読み取られる可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版にアップデートしてください。

ベンダ	リンク
国税庁	国税庁が提供するe-Taxソフトのバージョンアップのお願い

CVSS v3 CVSS:3.0/AV:L/AC:H/PR:N/UI:R/S:U/C:L/I:N/A:N

基本値: 2.5

CVSS v2 AV:L/AC:H/Au:N/C:P/I:N/A:N

基本値: 1.2

分析結果のコメント

システム内部のファイルを読み取り可能であることを一次的な影響であると評価し、完全性（I）および可用性（A）への影響を「なし (N)」と評価しています。

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 日本電気株式会社外山拓氏