Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Spring Data Commons」脆弱性、PoCで悪用容易 - 「Spring Framework」利用者は注意を

「Spring Data Commons」に深刻な脆弱性が見つかった問題で、すでに実証コードが広く公開されておりリスクが高まっているとして専門家が注意を呼びかけている。

ウェブアプリケーションフレームワークである「Spring Framework」において、データベースとのアクセスに利用するライブラリ「Spring Data Commons」にリモートよりコードを実行されるおそれがある「CVE-2018-1273」が見つかったもの。

同脆弱性に関して、同ソフトを提供するPivotal Softwareでは、重要度を「クリティカル(Critical)」とレーティング。4月10日にアップデートをリリースしているが、4月12日ごろより実証コード(PoC)が公開されている状況だ。

実証コードの実効性など脆弱性について検証を行ったNTTデータ先端技術では、公開済みであるPoCによって、リモートよりコードの実行が可能であることを確認。

実際に脆弱性が悪用されたケースは確認していないものの、脆弱性の攻撃はコマンドひとつで容易に行うことができると指摘。「Spring Framework」を利用する環境など、広く影響を及ぼす可能性があると分析、利用者に対策を呼びかけている。

20180427_ni_001.jpg
(図:NTTデータ先端技術)

(Security NEXT - 2018/04/27 ) このエントリーをはてなブックマークに追加

PR

関連記事

ZohoのExchange監視ツールに深刻な脆弱性 - アップデートを
「Erlang/OTP」「RoundCube」の既知脆弱性が標的に - 米当局が注意喚起
QNAP、アドバイザリ9件を公開 - 複数脆弱性を修正
アプリ生成「Lovable」に脆弱性 - 生成プロジェクトに影響
掲示板ツール「vBulletin」に深刻な脆弱性 - 実証コードや悪用も
バックアップストレージ用ソフト「HPE StoreOnce」に複数脆弱性
「Roundcube」脆弱性、詳細やPoCが公開予定 - 早急に対応を
Auth0の複数SDKに脆弱性 - 細工Cookieでコード実行のおそれ
米CISA、「Chromium」脆弱性の悪用に注意喚起 - 派生ブラウザも警戒を
「MS Edge」にアップデート - ゼロデイ脆弱性を解消