【活用ガイド】

[English]

JVNDB-2022-000088

TERASOLUNA Global Framework および TERASOLUNA Server Framework for Java (Rich版) において ClassLoader を操作可能な脆弱性

概要

株式会社エヌ・ティ・ティ・データが提供する TERASOLUNA Global Framework および TERASOLUNA Server Framework for Java (Rich版) は基盤フレームワークとして Spring Framework を使用しています。
TERASOLUNA Global Framework および TERASOLUNA Server Framework for Java (Rich版) の過去のバージョンには Spring Framework の古いバージョンが含まれており、Spring Framework の最新版では修正済みの ClassLoader を操作可能な脆弱性が存在します。
開発者によると、本脆弱性は Spring MVC のバインディング機構の入力値検証不備 (CWE-20) が原因とのことです。

この脆弱性情報は、製品利用者への周知を目的に、開発者が IPA に報告し、JPCERT/CC が開発者との調整を行いました。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 9.8 (緊急) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 不要
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): 高
  • 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 7.5 (危険) [IPA値]
  • 攻撃元区分: ネットワーク
  • 攻撃条件の複雑さ: 低
  • 攻撃前の認証要否: 不要
  • 機密性への影響(C): 部分的
  • 完全性への影響(I): 部分的
  • 可用性への影響(A): 部分的
影響を受けるシステム


株式会社エヌ・ティ・ティ・データ
  • TERASOLUNA Global Framework 1.0.0 (Public review version)
  • TERASOLUNA Server Framework for Java (Rich版) 2.0.0.2 から 2.0.5.1 まで

開発者によると、TERASOLUNA Server Framework for Java (Rich版) は、XML 形式のリクエストを受け付ける Controller のみを Bean 定義している場合には本脆弱性の影響は受けないとのことです。
想定される影響

遠隔の第三者によって細工されたデータを処理することにより、アプリケーションの権限で任意のコードを実行される可能性があります。
対策

[アップデートする]
開発者が提供する情報をもとに、最新バージョンにアップデートしてください。
なお、使用している JDK のバージョンなど、動作環境によっては追加の対応が必要になるとのことです。
詳細は、開発者が提供する情報をご確認ください。

[ワークアラウンドを実施する]
アップデートを適用できないユーザに向け、開発者は回避策を提供しています。
詳細は、開発者が提供する情報をご確認ください。
ベンダ情報

株式会社エヌ・ティ・ティ・データ 富士通
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 不適切な入力確認(CWE-20) [IPA評価]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2022-43484
参考情報

  1. JVN : JVN#54728399
  2. National Vulnerability Database (NVD) : CVE-2022-43484
  3. 関連文書 : Minor issue with fix for CVE 2010-1622 [SPR-11098] #15724
更新履歴

  • [2022年11月14日]
      掲載
  • [2024年06月06日]
      参考情報：National Vulnerability Database (NVD) (CVE-2022-43484) を追加

公表日2022/11/14
登録日2022/11/14
最終更新日2024/06/06