Apache James CVE-2026-85111はHigh―MIME解析の資源枯渇を3.9.1で修正

Apache Software Foundationは2026年11月6日UTC、Apache JamesでMIMEメッセージの解析時にサービス拒否を起こすCVE-2026-85111を公表しました。ApacheのCVSS v4.0評価は8.7、High。対象は3.9.1未満で、修正版は3.9.1です。

原因は、組み込まれているMime4Jライブラリで、資源の確保に十分な制限がないことです。外部から届くMIMEメッセージの解析が入口となり、認証や利用者の操作を必要とせず可用性へ影響する評価です。公表資料はDoSを説明しており、情報窃取やコード実行が可能だとする報告ではありません。

ライブラリ側の問題はCVE-2026-85108として別に管理されています。対象はorg.apache.james:apache-mime4j-coreとapache-mime4j-domの0.8.15未満。Apacheは同CVEをimportantとしていますが、James側の8.7というスコアをライブラリ側の公式評価として流用することはできません。

James 3.9.1は修正済みMime4J 0.8.15を利用します。ライブラリを直接または間接的に組み込むアプリでは、両パッケージの依存関係と実際に配備される版を確認してください。0.8.15では新たな制限を設け、既定値を改善しています。具体的な攻撃入力や実悪用の有無は、この告知では説明されていません。