公開日：2014/06/13 最終更新日：2016/06/21
JVN#49154900
Spring Framework におけるディレクトリトラバーサルの脆弱性
Spring Framework には、ディレクトリトラバーサルの脆弱性が存在します。
- Spring Framework バージョン 4.0.0 から 4.0.4
- Spring Framework バージョン 3.2.0 から 3.2.8
開発者によると、バージョン 3.1.1 は本脆弱性の影響を受けることが確認されており、その他のサポートされていないバージョンも本脆弱性の影響を受ける可能性があるとのことです。
Spring Framework は、ウェブアプリケーションを開発するための Java のフレームワークです。Spring Framework には、ディレクトリトラバーサルの脆弱性が存在します。
遠隔の第三者によって、サーバ上の任意のファイルにアクセスされる可能性があります。
アップデートする
3.x のバージョンを使用しているユーザは 3.2.9 以降に、4.x のバージョンを使用しているユーザは 4.0.5 以降にそれぞれアップデートしてください。
詳しくは、開発者が提供する情報をご確認ください。
| ベンダ | ステータス | ステータス 最終更新日 |
ベンダの告知ページ |
|---|---|---|---|
| 日本電気株式会社 | 該当製品あり | 2016/06/20 |
| ベンダ | リンク |
| GoPivotal, Inc. | CVE-2014-3578 Directory Traversal in Spring Framework |
| Spring Framework |
CVSS v2
AV:N/AC:L/Au:N/C:P/I:N/A:N
基本値:
5.0
| 攻撃元区分(AV) | ローカル (L) | 隣接 (A) | ネットワーク (N) |
|---|---|---|---|
| 攻撃条件の複雑さ(AC) | 高 (H) | 中 (M) | 低 (L) |
| 攻撃前の認証要否(Au) | 複数 (M) | 単一 (S) | 不要 (N) |
| 機密性への影響(C) | なし (N) | 部分的 (P) | 全面的 (C) |
| 完全性への影響(I) | なし (N) | 部分的 (P) | 全面的 (C) |
| 可用性への影響(A) | なし (N) | 部分的 (P) | 全面的 (C) |
この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
報告者: 三井物産セキュアディレクション株式会社 寺田 健 氏
| JPCERT 緊急報告 |
|
| JPCERT REPORT |
|
| CERT Advisory |
|
| CPNI Advisory |
|
| TRnotes |
|
| CVE |
CVE-2014-3578 |
| JVN iPedia |
JVNDB-2014-000054 |
- 2014/08/14
- 関連文書に CVE のリンクを追加しました。
- 2014/12/05
- 「影響を受けるシステム」、「対策方法」および「ベンダ情報」を更新しました。
- 2016/06/21
- 日本電気株式会社のベンダステータスが更新されました
