Apache JuneauのDirectoryResourceに、設定されたルートディレクトリの外側へアクセスできる脆弱性が公表された。Apache自身が割り当てたCVE-2026-121489の評価はCRITICAL、CVSS 4.0で10.0。閲覧・アップロード・削除の機能を有効にした環境で問題となり、修正版9.2.1への更新が推奨されている。
ディレクトリ境界を越えるファイル操作
Apache Software Foundationが2026年11月5日に公開したCVE原票によると、Juneauのマイクロサービス機能DirectoryResourceは、要求されたファイルパスを設定済みルート内に適切に閉じ込められない。条件を満たす構成では、サーバープロセスがアクセスできる範囲で、ルート外のファイルの読み取り、書き込み、削除につながる可能性がある。Apache CNAによるCVSS v4.0基本値は10.0（CRITICAL）だ。
初期設定では対象機能は無効
成立条件はDirectoryResourceのview、upload、deleteのいずれかの設定が有効であること。CNA原票ではこれらはすべて初期状態で無効とされている。Juneauを導入しているだけで、あらゆるアプリケーションが同じ危険にさらされるわけではない。運用担当者は該当機能の有効化状況、外部からの到達可能性、サーバープロセスのファイル権限を確認する必要がある。
2.1へ更新し、公開範囲と権限を点検
CNA原票が示す影響範囲は9.2.0までで、修正版は9.2.1。影響する環境では更新を優先し、更新までの間は該当するファイル操作機能を必要に応じて無効化することを検討したい。ファイル操作を許すサーバープロセスの権限も最小限にする。公表情報は潜在的な影響を説明したものであり、実際の悪用被害やCISA KEVへの掲載を確認したものではない。