ニュース&トピックス

JVNDB-2022-001498 Spring Framework における不適切なデータバインディング処理による任意コード実行の脆弱性

ニュース

【概要】


Spring Framework は、Java 言語で Web アプリケーションなどを作成するために用いられるフレームワークです。Spring Framework には、データバインディングで使用する、CachedIntrospectionResults クラス内の PropertyDescriptor オブジェクトを安全に処理しない脆弱性(CVE-2022-22965)があります。その結果、攻撃者により class.classLoader を呼び出され、システム内で任意の Java コードが実行される可能性があります。

2010年に同種の脆弱性が CVE-2010-1622 として報告され、Spring Framework 2.5.6.SEC02 において修正されました。今回報告された CVE-2022-22965 はこの修正を回避する新たな攻撃手法を提供するものです。

なお、VMWare によると本脆弱性を悪用する攻撃を成功させるためには複数の条件が必要であることが示唆されています。2022年4月1日現在、同社が報告を受けた攻撃シナリオにおいては、以下の条件が必要であったとのことです。

 * JDK 9 以上を使用している
 * Apache Tomcat をサーブレットコンテナとして使用している
 * WAR 形式でデプロイされている
 * プログラムが spring-webmvc あるいは spring-webflux に依存している

ただし、上記以外にも攻撃が成功するための条件が存在する可能性があります。今後公開される情報を注視してください。

【CVSS による深刻度(CVSS とは?)

【影響を受けるシステム】


VMware
  • Spring Framework 5.3.0 から 5.3.17(5.3.x 系)
  • Spring Framework 5.2.0 から 5.2.19(5.2.x 系)
日立
  • Hitachi Device Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Global Link Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Replication Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Tiered Storage Manager 8.8.3-00 以降 8.8.3-02 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 また、NCSC-NL が各製品における本脆弱性の影響有無を取りまとめたリストを公開しています。 詳細は NCSC-NL が公開する情報をご確認ください。

【想定される影響】

攻撃者により細工されたデータを Spring Framework で作成されたアプリケーションが処理することにより、アプリケーションの権限で任意のコードを実行される可能性があります。アプリケーションの構成によっては、攻撃者によって遠隔から認証なしで悪用される可能性があります。
【対策】

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、対策済みバージョンとして、Spring Framework 5.3.18(5.3.x 系)および 5.2.20(5.2.x 系)をリリースしています。

【ベンダ情報】

VMware シーメンス トレンドマイクロ 日立
【CWEによる脆弱性タイプ一覧】 CWEとは?

    【共通脆弱性識別子(CVE)】 CVEとは?

    1. CVE-2022-22965


    出典:JVN iPedia

    一覧に戻る