「Spring Core」にゼロデイ脆弱性「Spring4Shell」の指摘

「Spring Framework」のコアモジュールにリモートよりコードの実行が可能となるゼロデイ脆弱性「Spring4Shell」の指摘が出ている。実証コードも公開されているがアプリケーションに依存するもので、脆弱性の詳細は明らかになっていない。

同フレームワークで特定のアプリケーションを利用している場合に、「Spring Core」においてコードの実行が可能となる脆弱性が指摘されているもの。

セキュリティ研究者よりGitHubへ一時的に概念実証コード（PoC）が投稿されたことから脆弱性が明らかとなった。

開発チームより脆弱性に関するアナウンスなどは行われておらず、パッチの提供やCVE番号の付番なども行われていない。

一部で脆弱性の影響を懸念する声があがり、「Apache Log4j」に明らかとなった深刻な脆弱性「Log4Shell」を想起させる「Spring4Shell」と命名されている。

（Security NEXT - 2022/03/31 ） ツイート

PR

関連記事

「TeamCity」に深刻な脆弱性 - アップデートで修正
「VeloCloud Orchestrator」に脆弱性、悪用を確認 - 侵害調査を
米当局、「FortiOS」「VeloCloud Orchestrator」の脆弱性悪用を確認
「Zimbra」脆弱性にゼロデイ攻撃、露支援攻撃者が関与
Javaデータ変換ライブラリ「fastjson」に脆弱性 - 悪用攻撃も観測
「OpenAM」に深刻な脆弱性 - アップデートを公開
「ManageEngine ADAudit Plus」に脆弱性 - 4月に修正実施
「BIND 9」にキャッシュ汚染など複数脆弱性 - 修正版を公開
WordPress向けSSOプラグインに認証回避の脆弱性
「Chrome」に今月5度目のセキュリティ更新 - 脆弱性4件に対処