【活用ガイド】

JVNDB-2022-001498

Spring Framework における不適切なデータバインディング処理による任意コード実行の脆弱性

概要

Spring Framework は、Java 言語で Web アプリケーションなどを作成するために用いられるフレームワークです。Spring Framework には、データバインディングで使用する、CachedIntrospectionResults クラス内の PropertyDescriptor オブジェクトを安全に処理しない脆弱性（CVE-2022-22965）があります。その結果、攻撃者により class.classLoader を呼び出され、システム内で任意の Java コードが実行される可能性があります。

2010年に同種の脆弱性が CVE-2010-1622 として報告され、Spring Framework 2.5.6.SEC02 において修正されました。今回報告された CVE-2022-22965 はこの修正を回避する新たな攻撃手法を提供するものです。

なお、VMWare によると本脆弱性を悪用する攻撃を成功させるためには複数の条件が必要であることが示唆されています。2022年4月1日現在、同社が報告を受けた攻撃シナリオにおいては、以下の条件が必要であったとのことです。

　* JDK 9 以上を使用している
　* Apache Tomcat をサーブレットコンテナとして使用している
　* WAR 形式でデプロイされている
　* プログラムが spring-webmvc あるいは spring-webflux に依存している

ただし、上記以外にも攻撃が成功するための条件が存在する可能性があります。今後公開される情報を注視してください。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 9.8 (緊急) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.5 (危険) [NVD値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
影響を受けるシステム


VMware
  • Spring Framework 5.3.0 から 5.3.17（5.3.x 系）
  • Spring Framework 5.2.0 から 5.2.19（5.2.x 系）
日本電気
  • NEC Enhanced Video Analytics
  • SimpWright
日立
  • Hitachi Device Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Global Link Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Replication Manager 8.8.3-00 以降 8.8.3-02 未満
  • Hitachi Tiered Storage Manager 8.8.3-00 以降 8.8.3-02 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

また、NCSC-NL が各製品における本脆弱性の影響有無を取りまとめたリストを公開しています。 詳細は NCSC-NL が公開する情報をご確認ください。
想定される影響

攻撃者により細工されたデータを Spring Framework で作成されたアプリケーションが処理することにより、アプリケーションの権限で任意のコードを実行される可能性があります。アプリケーションの構成によっては、攻撃者によって遠隔から認証なしで悪用される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新版へアップデートしてください。
開発者は、対策済みバージョンとして、Spring Framework 5.3.18（5.3.x 系）および 5.2.20（5.2.x 系）をリリースしています。
ベンダ情報

VMware シーメンス トレンドマイクロ 日本電気
  • NEC製品セキュリティ情報 : NV22-008
日立
CWEによる脆弱性タイプ一覧  CWEとは?

  1. コード・インジェクション(CWE-94) [NVD評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2022-22965
参考情報

  1. JVN : JVNVU#94675398
  2. JVN : JVNVU#98836905
  3. National Vulnerability Database (NVD) : CVE-2022-22965
  4. US-CERT Vulnerability Note : VU#970766
  5. ICS-CERT ADVISORY : ICSA-22-286-05
  6. 関連文書 : CVE-2022-22965: Spring Core Remote Code Execution Vulnerability Exploited In the Wild (SpringShell)
  7. 関連文書 : springcore-0day-en
  8. 関連文書 : SpringShell: Spring Core RCE 0-day Vulnerability
  9. 関連文書 : Spring Frameworkの任意のコード実行の脆弱性（CVE-2022-22965）について
  10. 関連文書 : Overview of software (un)affected by vulnerability
  11. 関連文書 : cve-2022-22965 Spring4Shell の影響調査
更新履歴

  • [2022年04月05日]
      掲載
  • [2022年04月08日]
      参考情報：関連文書 (cve-2022-22965 Spring4Shell の影響調査) を追加
  • [2022年04月22日]
      ベンダ情報：シーメンス (SSA-254054: Spring Framework Vulnerability (Spring4Shell or SpringShell, CVE-2022-22965) - Impact to Siemens Products) を追加
      ベンダ情報：トレンドマイクロ (アラート/アドバイザリ：Spring Cloudと Spring Frameworkにおけるリモートコード実行の脆弱性 (CVE-2022-22963、CVE-2022-22965) のトレンドマイクロ製品への影響について) を追加
  • [2022年05月30日]
      ベンダ情報：日立 (hitachi-sec-2022-114) を追加
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
  • [2022年08月09日]
      影響を受けるシステム：ベンダ情報の追加に伴い内容を更新
      ベンダ情報：日本電気 (NV22-008) を追加
  • [2022年10月18日]
      参考情報：JVN (JVNVU#98836905) を追加
      参考情報：ICS-CERT ADVISORY(ICSA-22-286-05) を追加
  • [2023年09月05日]
      影響を受けるシステム：ベンダ情報 (NV22-008) の更新に伴い内容を更新

公表日2022/04/01
登録日2022/04/05
最終更新日2023/09/05