Emissary の NavAction に脆弱性（CVE-2026-54442）: CVE-2026-35571 の修正が不完全で、//ホスト名 形式のリンクが検証をすり抜ける

Java 製のデータ処理基盤 Emissary で、ナビゲーションのリンク検証が不完全だったとして、2026 年 10 月 30 日（UTC）に CVE-2026-54442 が公開されました。今年 1 月の修正（CVE-2026-35571 向け）の抜け道にあたります。GitHub Advisory の深刻度は Medium、CVSS v3.1 は 4.8（CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:C/C:L/I:L/A:N）、CWE-918（SSRF）です。CISA の KEV には載っていません。EPSS は FIRST の API でまだ採点されていません（10/31 時点で該当なし）。

何が起きるか

• NavAction は、ナビゲーションのリンクを ^(https?:/)?/.* という正規表現で検証していました。先頭の https?:/ が省略可能なため、//evil.example/...（スキーム省略の URL）や http:/evil.example（スラッシュが 1 本のスキーム）が通ります。ブラウザは前者を現在のスキーム付きの外部ホストへ、後者を http://evil.example へ解釈します。
• 勧告は、リンクを使った外部サイトへのリダイレクト（オープンリダイレクト）と、サーバー側が内部のサービスへ要求を送らされる SSRF の恐れがあると説明しています。例として、クラウドのメタデータ用アドレスを指す //169.254.169.254/... を挙げています。
• 勧告の検証例は、正規表現そのものを手元で試した結果です。実際の Emissary サーバーに対する攻撃の再現ではありません。

影響を受ける版と修正

• 勧告の影響範囲は Maven の gov.nsa.emissary:emissary の 8.51.0 未満、修正版は 8.51.0 です。元の問題（CVE-2026-35571）の修正は 8.39.0 に入っているため、この抜け道が実際に関わるのは 8.39.0 から 8.50.x と読めます（この範囲の絞り込みは本稿の推定で、勧告の記載は「8.51.0 未満」です）。
• 8.51.0 は 2026 年 10 月 29 日（UTC）にリリースされました。リリースノートに、この件の項目（Medium）があります。修正のコミットも同日（e0179f75）です。勧告の公開は翌 30 日で、リリースの約 1 日後です。
• 修正後のリンクは、/ または ./ で始まる相対パスだけを受け付けます。URL デコードした値で検証し、//、スキーム、.. や /. の区間、[A-Za-z0-9/.=?&_-] 以外の文字を含むものは拒否します。リリースノートは、これまで動いていた http(s):// で始まる絶対リンクも拒否され、警告ログに残ると注意しています。

悪用の条件

• 8.51.0 より前の Emissary を使っている。
• 攻撃者が、ナビゲーションのリンクに細工した値を入れられる。CVSS のベクターは、必要な権限が高く（PR:H）、利用者の操作が要る（UI:R）としています。

対応

1. 使っている Emissary の版を確認します。
2. 8.51.0 未満なら、8.51.0 以降へ更新します。
3. 更新後、http(s):// で始まる絶対リンクを使っていた画面が、拒否されて表示されなくなっていないか確かめます。警告ログも見ます。
4. すぐ更新できない場合は、ナビゲーションのリンクを設定・入力できる人を絞り、外部のホストを指すリンクがないか点検します。

未確認の点

• NVD の記載は確認できていません（公開直後）。
• 悪用の報告は見つかっていません（KEV 掲載なし。EPSS は未採点）。
• 8.39.0 から 8.50.x という絞り込みは、元の修正のリリース時期からの推定です。