「Spring Security」にタイミング攻撃対策が回避される脆弱性

Java向けのセキュリティフレームワーク「Spring Security」に脆弱性が明らかとなった。アップデートで修正されている。

同脆弱性は、認証処理を担う「DaoAuthenticationProvider」において、タイミング攻撃への対策が有効に機能しなくなる脆弱性「CVE-2025-22234」が確認された。

パスワードを処理する関数において、最初の72文字が同じだと72文字以上のパスワードへすべて「真」を返す脆弱性「CVE-2025-22228」が以前解消されたが、修正内容に問題があったという。

具体的には、パスワード長の制限が導入されたことにより、タイミング攻撃への緩和策が回避されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「5.3」、重要度は4段階中、上から3番目にあたる「中（Medium）」としている。

開発グループでは、「同6.4.5」「同6.3.9」「同6.2.11」「同6.1.15」「同6.0.17」「同5.8.19」「同5.7.17」にて脆弱性を解消している。

（Security NEXT - 2025/04/23 ）ツイート