Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

「Spring4Shell」を修正したアップデートが公開 - 詳細明らかに

Javaフレームワーク「Spring Framework」にゼロデイ脆弱性「Spring4Shell」が明らかとなった問題で、VMwareでは脆弱性の詳細を明らかにするとともに、アップデートをリリースした。

セキュリティ研究者より実証コードが一時公開されたことで明らかになり、「Log4Shell」を想起させる「Spring4Shell」と呼ばれている脆弱性に対し、同社では「CVE-2022-22965」を採番。アドバイザリを公表して詳細を明らかにした。

同脆弱性は、「JDK 9」以降にて「Spring MVC」あるいは「Spring WebFlux」でアプリケーションを実行している環境に影響があり、データバインディングを介してリモートよりコードを実行されるおそれがあるという。

共通脆弱性評価システム「CVSSv3.0」のベーススコアは「9.8」で、重要度は「クリティカル(Critical)」とレーティング。

「同5.3.17」「同5.2.19」および以前のバージョンが影響を受けるとしており、すでにサポートが終了した旧版も含まれる。

(Security NEXT - 2022/04/01 ) このエントリーをはてなブックマークに追加

PR

関連記事

Zyxel製品の深刻な脆弱性、4月に修正済み - 報告者がサイレントパッチの危険性を指摘
米政府、「CVE-2022-26925」を緊急対応リストから一時削除 - DCへの影響で
Apple、「iOS 15.5」「iPadOS 15.5」をリリース - 脆弱性34件を修正
米政府、VMwareのID管理製品脆弱性で緊急指令 - 侵害確認とパッチ適用求める
F5製「BIG-IP」脆弱性、悪用容易 - 侵害有無の確認を
WordPress向けのテーマやプラグイン「Jupiter」に深刻な脆弱性
「BIND」の「DNS over HTTPS」に脆弱性 - DoS攻撃のおそれ
楽天モバイルのフェムトセルに複数の脆弱性
VMware製IDアクセス管理製品に重要度「クリティカル」の脆弱性 - 認証回避のおそれ
Apple、「macOS」のアップデートを公開 - 多数脆弱性を解消