「Spring Core」にゼロデイ脆弱性「Spring4Shell」の指摘

Rapid7によれば、今回指摘された脆弱性は、インストール直後の環境では悪用できないとしており、アプリケーションが利用する機能に依存すると説明。

同社では、「Spring Framework 5.3.15」から「同4.3.0」の環境においてPoCが動作することを確認したが、脆弱性が依存するアプリケーションの機能は明らかになっていないという。

脆弱性への一時的な緩和策として、ソースコードを変更してフィールドを保護することや、ウェブアプリケーションファイアウォール（WAF）によるアプリケーションの保護、異常な挙動の監視などを挙げている。

また同脆弱性については、同時期に公開された「Spring Cloud Function」の脆弱性「CVE-2022-22963」と混同されるなど、混乱も生じているという。「CVE-2022-22963」については脆弱性を修正するアップデートがリリースされている。

（Security NEXT - 2022/03/31 ） ツイート

PR

関連記事

「NVIDIA Jetson Linux」に複数脆弱性 - アップデートを公開
GIGABYTE製ユーティリティ「GCC」に脆弱性
「SonicWall Email Security」に複数脆弱性 - アップデートを呼びかけ
「MLflow」にOSコマンドインジェクションの脆弱性 - 権限昇格のおそれ
ルータなどバッファロー製46モデルに脆弱性 - 一部サポート終了も
テキストエディタ「Vim」に脆弱性 - 細工ファイル開くとコード実行
「NetScaler ADC/Gateway」の脆弱性悪用を確認 - 米当局が注意喚起
脆弱性狙われる「BIG-IP APM」、国内で利用あり - 侵害調査など対応を
「F5 BIG-IP APM」脆弱性の悪用が発生 - 当初発表より深刻なリスク
「OpenBao」に認証関連で複数のクリティカル脆弱性