Spring Framework は、Java 言語で Web アプリケーションなどを作成するために用いられるフレームワークです。Spring Framework には、データバインディングで使用する、CachedIntrospectionResults クラス内の PropertyDescriptor オブジェクトを安全に処理しない脆弱性（CVE-2022-22965）があります。その結果、攻撃者により class.classLoader を呼び出され、システム内で任意の Java コードが実行される可能性があります。

2010年に同種の脆弱性が CVE-2010-1622 として報告され、Spring Framework 2.5.6.SEC02 において修正されました。今回報告された CVE-2022-22965 はこの修正を回避する新たな攻撃手法を提供するものです。

なお、VMWare によると本脆弱性を悪用する攻撃を成功させるためには複数の条件が必要であることが示唆されています。2022年4月1日現在、同社が報告を受けた攻撃シナリオにおいては、以下の条件が必要であったとのことです。

　* JDK 9 以上を使用している
　* Apache Tomcat をサーブレットコンテナとして使用している
　* WAR 形式でデプロイされている
　* プログラムが spring-webmvc あるいは spring-webflux に依存している

ただし、上記以外にも攻撃が成功するための条件が存在する可能性があります。今後公開される情報を注視してください。

VMware

• Spring Framework 5.3.0 から 5.3.17（5.3.x 系）
• Spring Framework 5.2.0 から 5.2.19（5.2.x 系）

日立

• Hitachi Device Manager 8.8.3-00 以降 8.8.3-02 未満
• Hitachi Global Link Manager 8.8.3-00 以降 8.8.3-02 未満
• Hitachi Replication Manager 8.8.3-00 以降 8.8.3-02 未満
• Hitachi Tiered Storage Manager 8.8.3-00 以降 8.8.3-02 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 また、NCSC-NL が各製品における本脆弱性の影響有無を取りまとめたリストを公開しています。 詳細は NCSC-NL が公開する情報をご確認ください。

攻撃者により細工されたデータを Spring Framework で作成されたアプリケーションが処理することにより、アプリケーションの権限で任意のコードを実行される可能性があります。アプリケーションの構成によっては、攻撃者によって遠隔から認証なしで悪用される可能性があります。

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、対策済みバージョンとして、Spring Framework 5.3.18（5.3.x 系）および 5.2.20（5.2.x 系）をリリースしています。

VMware

• VMware : CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+
• VMware : Spring Framework RCE, Early Announcement

シーメンス

• Siemens : SSA-254054: Spring Framework Vulnerability (Spring4Shell or SpringShell, CVE-2022-22965) - Impact to Siemens Products

トレンドマイクロ

• トレンドマイクロ : アラート/アドバイザリ：Spring Cloudと Spring Frameworkにおけるリモートコード実行の脆弱性 (CVE-2022-22963、CVE-2022-22965) のトレンドマイクロ製品への影響について

日立

• Hitachi Software Vulnerability Information : hitachi-sec-2022-114
• ソフトウェア製品セキュリティ情報 : hitachi-sec-2022-114
  
  

1. CVE-2022-22965
   
   
   

出典：JVN iPedia