miCheckerの脆弱性情報

みんなのアクセシビリティ評価ツール（miChecker（エムアイチェッカー））におけるXML外部実体参照（XXE）に関する脆弱性

概要

みんなのアクセシビリティ評価ツール（以下、miChecker）バージョン3.1.0以前にXML外部実体参照（XXE）に関する脆弱性が存在することが判明しました。
この脆弱性を悪用された場合、悪意ある第三者の攻撃により、miCheckerなどが動作しているコンピュータを介して、ローカルリソースや内部ネットワークリソースへアクセスされる危険性があります。
この問題の影響を受けるmiCheckerのバージョンを以下に示しますので、以下の更新を行ってください。

該当アプリケーションの確認方法

影響を受けるアプリケーションは以下のアプリケーションです。

使用しているバージョン番号の確認方法は以下の通りです。

1. miCheckerを起動し、「ヘルプ」メニューから「miCheckerについて」を選択する。
2. 現れたウィンドウの中央上部にmiCheckerのバージョン番号が表示されます。

（Eclipse Accessibility Tools Framework (ACTF)にて提供されているmiCheckerのソースコードなどを用いてアプリケーションなどを作成されている場合には、ダウンロードしたソースコードがタグv20260630以前の場合は、当該脆弱性の影響を受ける可能性があります）

脆弱性の説明

miCheckerは、字幕ファイルの確認・表示のためにXMLの解析機能を利用しています。この機能の実装に際してXML外部実体参照（XXE）に関する脆弱性が存在したため、細工された字幕を読み込むことで、当該アプリケーションから意図しない通信が発生し、外部の第三者にローカルリソースや内部ネットワークリソースへアクセスされる脆弱性が存在します。

脆弱性がもたらす脅威

本ソフトウエアにおいて「字幕（SMIL形式）を開く」機能を利用した際に、細工された字幕を読み込むことなどによって攻撃が成功すると、悪意のある第三者によってコンピュータ上のローカルリソースや内部ネットワークリソースへアクセスされる可能性があります。

対策方法

miCheckerバージョン3.1.0 以前のアプリケーションを利用されている方は、一度アプリケーションをアンインストールしてから対策版アプリケーション（miChecker バージョン3.1.1以降）をインストールしてください。
対策版アプリケーションの入手およびインストール方法に関しては、miCheckerの提供ページの情報を参照してください。

回避策

この脆弱性は、次に示す手順で影響を緩和できる場合があります。

• miCheckerの「字幕（SMIL形式）を開く」機能の利用を停止することで、脆弱性の影響を避けることができます。

関連情報

JVN# 40688603　miCheckerにおけるXML外部実体参照（XXE）に関する脆弱性

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、松橋勇輝氏がIPAに報告し、JPCERT/CCがアプリケーションの提供者・開発者との調整を行ったものです。報告者である松橋勇輝氏および関係各位のご協力に深く感謝申し上げます。

連絡先

Eclipse ACTFに関する連絡窓口(メーリングリスト)

https://accounts.eclipse.org/mailing-list/actf-dev