「Spring Core」にゼロデイ脆弱性「Spring4Shell」の指摘

「Spring Framework」のコアモジュールにリモートよりコードの実行が可能となるゼロデイ脆弱性「Spring4Shell」の指摘が出ている。実証コードも公開されているがアプリケーションに依存するもので、脆弱性の詳細は明らかになっていない。

同フレームワークで特定のアプリケーションを利用している場合に、「Spring Core」においてコードの実行が可能となる脆弱性が指摘されているもの。

セキュリティ研究者よりGitHubへ一時的に概念実証コード（PoC）が投稿されたことから脆弱性が明らかとなった。

開発チームより脆弱性に関するアナウンスなどは行われておらず、パッチの提供やCVE番号の付番なども行われていない。

一部で脆弱性の影響を懸念する声があがり、「Apache Log4j」に明らかとなった深刻な脆弱性「Log4Shell」を想起させる「Spring4Shell」と命名されている。

（Security NEXT - 2022/03/31 ） ツイート

PR

関連記事

「PAN-OS」に対するゼロデイ攻撃、国内被害は未確認
「PAN-OS」を狙う「Operation MidnightEclipse」 - 3月下旬より展開
Palo Alto Networksの「PAN-OS」にゼロデイ脆弱性 - パッチを準備中
Fortinet、アドバイザリ13件を公開 - 複数製品の脆弱性を修正
「Rust」によるWindowsバッチ処理に脆弱性 - アップデートが公開
Juniper Networks、セキュリティアドバイザリ36件を公開 - 「クリティカル」も
「PAN-OS」に関する脆弱性7件を修正 - Palo Alto Networks
「OpenSSL」にサービス拒否の脆弱性 - 次期更新で修正予定
「Node.js」にコマンドインジェクションの脆弱性 - Windows環境に影響
「Chrome」に3件の脆弱性 - アップデートが公開