「Spring Framework」に複数の脆弱性 - 重要度「Critical」も

「Spring Framework」に複数の脆弱性が明らかとなった。アップデートにて修正されている。

「CVE-2023-20860」は、Spring Securityの設定において二重アスタリスクのパターンを用いていると、「Spring Security」と「Spring MVC」の間でパターン照合時にミスマッチが生じ、セキュリティ機能をバイパスされるおそれがある脆弱性。

またユーザーが細工した「SpEL式」を用いた場合にサービス拒否を引き起こす「CVE-2023-20861」が明らかとなった。

共通脆弱性評価システム「CVSSv3」におけるベーススコアは、「CVE-2023-20860」が「9.1」、「CVE-2023-20861」が「5.3」と評価されている。重要度はそれぞれ「クリティカル（Critical）」「中（Medium）」。

開発チームでは、脆弱性に対処したアップデートとなる「同6.0.7」「同5.3.26」をリリース。「CVE-2023-20861」に関しては「同5.2.x.RELEASE」にも影響があるとし、「同5.2.23.RELEASE」を提供している。

（Security NEXT - 2023/03/29 ）ツイート