「Spring Framework」に脆弱性 - アップデートで修正

Java向けアプリケーションフレームワーク「Spring Framework」に脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

開発チームは現地時間2025年8月14日、セキュリティアドバイザリを公開し、特定のサーブレットコンテナ環境においてパストラバーサルが生じる脆弱性「CVE-2025-41242」について明らかにした。

「MVCアプリケーション」をWAR形式や組み込み型サーブレットコンテナでデプロイし、静的リソースを配信している構成において、パストラバーサルを引き起こすシーケンスをサーブレットコンテナが拒否しない場合、悪用されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「5.9」、重要度は「中（Medium）」とレーティングされている。

開発チームでは、「Spring Framework 6.2.10」「同6.1.22」「同5.3.44」にて脆弱性を修正した。一方、「同6.0」ブランチについてはサポートが終了しており、アップデートの提供は行われないため注意が必要。

なお、「Apache Tomcat」「Eclipse Jetty」にデプロイされたアプリケーションに関しては、デフォルトのセキュリティ機能を無効化していなければ、同脆弱性の影響を受けないことを確認しているが、他環境への影響は未知数であるとし、アップデートを呼びかけている。

（Security NEXT - 2025/08/15 ）ツイート