Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Spring Framework」の脆弱性、2017年の「Struts」脆弱性を想起させる危険度

「Spring Framework」に深刻な脆弱性が見つかった問題で、容易に攻撃が可能であり、セキュリティベンダーでは警戒を強めている。影響の範囲や大きさを踏まえると、2017年に大きな影響をもたらした「Apache Struts」の脆弱性を想起させるものだといい、今後悪用が急激に広がる可能性もある。

今回の脆弱性は、メッセージングプロトコル「STOMP(Streaming Text Oriented Messaging Protocol)」の処理に起因する脆弱性。WebSocket上で同プロトコルを利用し、細工されたメッセージを処理すると、不正なOSコマンドが実行されるおそれがある。

脆弱性の実証コードについて検証を行ったNTTデータ先端技術によれば、「Spring Framework」では、メッセージング機能の実装に同プロトコルを使用。

メッセージング機能を利用するウェブアプリケーションでは、フォームより攻撃コードを挿入して送信するだけで、容易に悪用することが可能であると脆弱性の危険性を指摘している。

20180411_ns_001.jpg
脆弱性を悪用した例(図:NTTデータ先技)

(Security NEXT - 2018/04/11 ) このエントリーをはてなブックマークに追加

関連リンク

PR

関連記事

クリプトマイナーの感染攻撃に「Spring4Shell」を悪用
「Spring4Shell」狙う攻撃が発生 - ボット「Mirai」感染活動に悪用
Fortinet、「OpenSSL」脆弱性判明受けてアップデート - 「Spring4Shell」の影響は調査中
「Spring4Shell」、一部Cisco製品に影響 - 調査中の製品も
「Apache Tomcat」のアップデートが公開 - 「Spring4Shell」対策も
「VMware Tanzu」向けにアップデート - 「Spring4Shell」の影響で
「Spring Core」にゼロデイ脆弱性「Spring4Shell」の指摘
「Spring4Shell」を修正したアップデートが公開 - 詳細明らかに
行政の共通認証「GビズID」、「Spring4Shell」の影響なし
行政サービスの共通認証「GビズID」が停止 - 「Spring4Shell」影響で