公開日：2026/03/19　最終更新日：2026/03/19

JVNVU#95093977
Xerox FreeFlow Coreにおける複数の脆弱性（XRX26-005）

概要

Xerox FreeFlow Coreには、複数の脆弱性が存在します。

影響を受けるシステム

  • Xerox FreeFlow Core、8.1.0 より前のバージョン

富士フイルムビジネスイノベーションによると、彼らが提供しているXerox FreeFlow Core（バージョン7.0.0から7.0.11）もXRX26-005の影響を受けます。

詳細情報

Xerox FreeFlow Coreには、次の複数の脆弱性が存在します。

  • パストラバーサル（CWE-22）
    • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 9.3
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H 基本値 9.8
    • CVE-2026-2251
  • XML外部実体参照（XXE）の不適切な制限（CWE-611）
    • CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 8.7
    • CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N 基本値 7.5
    • CVE-2026-2252

想定される影響

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

  • 細工した入力により任意のファイルを任意の場所に保存され、結果として、任意のコードを実行される（CVE-2026-2251）
  • 細工した入力により、ネットワーク経由のリソースにアクセスさせられる（CVE-2026-2252）

対策方法

アップデートする
Xerox Corporationは、本件の対策を行ったバージョン8.1.0をリリースしています。

ワークアラウンドを実施する
富士フイルムビジネスイノベーションは、2026年3月17日に公開したアドバイザリにて、彼らが提供しているXerox FreeFlow CoreもXRX26-005の影響を受けること、また、対策版の準備を進めていることを発表しています。あわせて、対策版にアップデートするまでの間は回避策を適用することを推奨しています。
詳細については、富士フイルムビジネスイノベーションが提供する情報を確認してください。

ベンダ情報

ベンダ リンク
富士フイルムビジネスイノベーション株式会社 2026年3月17日 Xerox FreeFlow Coreの脆弱性に関するお知らせ
Xerox Corporation Security Bulletin XRX26-005 for Xerox FreeFlow Core

参考情報

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

謝辞

この脆弱性情報は、製品利用者への周知を目的に、富士フイルムビジネスイノベーションがJPCERT/CCに報告したものです。

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE
JVN iPedia