JVNVU#94675398
Spring Frameworkにおける不適切なデータバインディング処理による任意コード実行の脆弱性

Spring Frameworkには、データバインディングで使用するPropertyDescriptorオブジェクトの不適切な処理により、認証されていないリモートの攻撃者によって任意のJavaコードを実行される脆弱性が存在します。

• Spring Framework バージョン5.3.0から5.3.17（5.3.x系）
• Spring Framework バージョン5.2.0から5.2.19（5.2.x系）

Spring Frameworkは、Java言語でWebアプリケーションなどを作成するために用いられるフレームワークです。Spring Frameworkには、データバインディングで使用する、CachedIntrospectionResultsクラス内のPropertyDescriptorオブジェクトを安全に処理しない脆弱性（CVE-2022-22965）があります。その結果、攻撃者によりclass.classLoaderを呼び出され、システム内で任意のJavaコードが実行される可能性があります。

2010年に同種の脆弱性がCVE-2010-1622として報告され、Spring Framework 2.5.6.SEC02において修正されました。今回報告されたCVE-2022-22965はこの修正を回避する新たな攻撃手法を提供するものです。

なお、VMWareによると本脆弱性を悪用する攻撃を成功させるためには複数の条件が必要であることが示唆されています。2022年4月1日現在、同社が報告を受けた攻撃シナリオにおいては、以下の条件が必要であったとのことです。

• JDK 9以上を使用している
• Apache Tomcatをサーブレットコンテナとして使用している
• WAR形式でデプロイされている
• プログラムがspring-webmvcあるいはspring-webfluxに依存している

攻撃者により細工されたデータをSpring Frameworkで作成されたアプリケーションが処理することにより、アプリケーションの権限で任意のコードを実行される可能性があります。アプリケーションの構成によっては、攻撃者によって遠隔から認証なしで悪用される可能性があります。

アップデートする
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、対策済みバージョンとして、Spring Framework 5.3.18（5.3.x系）および5.2.20（5.2.x系）をリリースしています。