「Spring Framework」にパストラバーサルの脆弱性

ウェブアプリケーションフレームワーク「Spring Framework」にあらたな脆弱性が明らかとなった。

現地時間9月12日にセキュリティアドバイザリを公開し、パストラバーサルの脆弱性「CVE-2024-38816」について明らかにしたもの。細工したHTTPリクエストにより、任意のファイルを取得されるおそれがある。

「RouterFunctions」を使って静的リソースを提供している場合や、「FileSystemResource」を利用してリソースハンドリングを設定しているアプリケーションが脆弱性の影響を受けるという。

共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.5」、重要度を4段階中、上から2番目にあたる「高（High）」とレーティングした。

開発グループでは、脆弱性を修正した「同6.1.13」をリリースしており、早急にアップデートするよう呼びかけた。またエンタープライズサポートの利用者向けに「同6.0.24」「同5.3.40」を提供している。

なお「Spring Security」の「HTTP Firewall」を利用している場合や、アプリケーションを「Apache Tomcat」や「Jetty」上で稼働させている場合は、同脆弱性の影響を受けないとしている。

（Security NEXT - 2024/09/13 ）ツイート