Eclipse ACTF(含 miChecker)におけるXML外部実体参照（XXE）に関する脆弱性について

公開日 2026年7月30日

概要

Eclipse Accessibility Tools Framework (以下、ACTF)のバージョン20260630 および、みんなのアクセシビリティ評価ツール（以下、miChecker）バージョン3.1.0以前にXML外部実体参照（XXE）に関する脆弱性が存在することが判明しました。この脆弱性を悪用された場合、悪意ある第三者の攻撃により、miCheckerを含むEclipse ACTFを利用したアプリケーションなどが動作しているコンピュータを介して、ローカルリソースや内部ネットワークリソースへアクセスされる危険性があります。この問題の影響を受けるEclipse ACTFおよびmiCheckerのバージョンを以下に示しますので、以下の更新を行ってください。

該当アプリケーションの確認方法

影響を受けるアプリケーションは以下のアプリケーションです。

アプリケーション名称： miChecker
該当バージョン： 3.1.0 以前の全てのバージョン

使用しているバージョン番号の確認方法は以下の通りです。

miCheckerを起動し、「ヘルプ」メニューから「miCheckerについて」を選択する。
現れたウィンドウの中央上部にmiCheckerのバージョン番号が表示されます。

（Eclipse ACTFのソースコードを用いてアプリケーションなどを作成されている場合には、ダウンロードしたソースコードがタグ20260630以前の場合は、当該脆弱性の影響を受ける可能性があります）

脆弱性の説明

miCheckerは、字幕ファイルの確認・表示のためにXMLの解析機能を利用しています。この機能の実装に際してXML外部実体参照（XXE）に関する脆弱性が存在したため、細工された字幕を読み込むことで、当該アプリケーションから意図しない通信が発生し、外部の第三者にローカルリソースや内部ネットワークリソースへアクセスされる脆弱性が存在します。

脆弱性がもたらす脅威

本ソフトウエアにおいて「字幕（SMIL形式）を開く」機能を利用した際に、細工された字幕を読み込むことなどによって攻撃が成功すると、悪意のある第三者によってコンピュータ上のローカルリソースや内部ネットワークリソースへアクセスされる可能性があります。

XML外部実体参照（XXE）に関する脆弱性（ CWE-611 ）
CVSS4.0: AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N (基本値4.6)
CVSS3.0: AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N (基本値3.3)
CVE-2026-14304

対策方法

miCheckerバージョン3.1.0 以前のアプリケーションを利用されている方は、一度アプリケーションをアンインストールしてから対策版アプリケーション（miChecker バージョン3.1.1以降）をインストールしてください。対策版アプリケーションの入手およびインストール方法に関しては、総務省のみんなのアクセシビリティ評価ツール：（miChecker（エムアイチェッカー）のページを参照してください。

回避策

この脆弱性は、次に示す手順で影響を緩和できる場合があります。

回避策： miCheckerの「字幕（SMIL形式）を開く」機能の利用を停止することで、脆弱性の影響を避けることができます。

謝辞

この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき、松橋勇輝氏がIPAに報告し、JPCERT/CCがアプリケーションの提供者・開発者との調整を行ったものです。報告者である松橋勇輝氏および関係各位のご協力に深く感謝申し上げます。

問い合わせ先

Eclipse 脆弱性連絡窓口

Eclipse Foundation Security

Eclipse ACTFに関する連絡窓口(メーリングリスト)

actf-devメーリングリスト (要登録)

更新履歴

2026年7月30日この脆弱性情報ページを公開しました。