「Spring Framework」に、リモートOSコマンド実行などの脆弱性（JPCERT/CC）

JPCERT/CCは、「Spring Framework」の脆弱性に関する注意喚起を発表した。

脆弱性と脅威セキュリティホール・脆弱性

2018.4.11 Wed 8:00

一般社団法人 JPCERT コーディネーションセンター（JPCERT/CC）は4月10日、「Spring Framework」の脆弱性に関する注意喚起を発表した。Spring Frameworkは、Pivotal Softwareが提供する、JavaのWebアプリ開発を行うためのフレームワーク。Pivotal Softwareが4月3日、5日、9日（現地時間）に、Spring Frameworkに関する複数の脆弱性情報を公開したことを受けたもの。

「Spring Framework 5.0 から 5.0.4」および「Spring Framework 4.3 から 4.3.15」には、複数の脆弱性が存在する。また、すでにサポートが終了している過去のバージョンにおいても、同脆弱性の影響を受けるとのこと。これらの脆弱性を悪用されると、実行しているアプリケーションサーバの実行権限で、リモートから任意のOSコマンドが実行されるなどの可能性がある。

JPCERT/CCでは、修正バージョン（Spring Framework 5.0.5およびSpring Framework 4.3.16）が公開されているため、十分なテストを実施の上で適用するよう呼びかけている。

《吉澤亨史（ Kouji Yoshizawa ）》