「Spring Cloud Config」にパストラバーサルなど複数脆弱性

分散システムやマイクロサービス環境の設定管理ツール「Spring Cloud Config」に複数の脆弱性が明らかとなった。

開発チームは現地時間2026年5月6日、セキュリティアドバイザリを公開し、4件の脆弱性を明らかにした。

モジュールを通じてテキストファイルやバイナリファイルを配信する構成の場合、細工したURLによってリモートから認証を必要とすることなくファイルアクセスが可能となるパストラバーサルの脆弱性「CVE-2026-40982」が確認された。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」で、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

さらに「Google Secrets Manager」をバックエンドとして利用する構成で、別のGCPプロジェクトに保存されたシークレットへアクセスされるおそれがある「CVE-2026-40981」が確認された。

（Security NEXT - 2026/05/07 ）ツイート