VMware Tanzu Spring Data Commons のコードインジェクションの脆弱性（CVE-2018-1273）

何が起きた

Java の部品である Spring Data Commons に、受け取った値を項目に結び付ける処理（プロパティバインダー）の弱点が見つかりました。特別な記号をきちんと無害化していないため、攻撃者が細工したリクエストのパラメータを送ると、サーバー上で任意のプログラムを実行される（リモートコード実行）おそれがあります。NVD の評価では、ネットワーク経由で、ログインしていない攻撃者でも悪用できるとされています。実際の悪用が確認されており、ランサムウェア攻撃での悪用も知られています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Spring Data Commons を使い、Spring Data REST で公開している HTTP の窓口や、Spring Data の投影（projection）を使ったリクエストの受け取りをしているアプリが対象です。Spring の公式情報では、2.0.0.RELEASE から 2.0.5.RELEASE と、1.13.10.RELEASE 以前が影響を受けます。サポートが終わった古いバージョンも影響を受けると NVD は説明しています。

何をすればいい

使っている系列に合わせて、2.0.6.RELEASE 以降、または 1.13.11.RELEASE 以降に更新されているか確認してください。Spring の公式情報では、修正版への更新以外の対策は必要ないとしています。なお、Spring Security で窓口に認証と認可をかけていれば、悪用できる人はアクセスを許された利用者に限られるとも書かれています。あわせて VMware Tanzu（Spring）の公式の案内を確認してください。

やることチェックリスト

• Spring Data Commons の版を確かめる
• 2.0.6.RELEASE 以降に更新する
• 1.13 系は 1.13.11.RELEASE 以降に更新する

用語メモ

リモートコード実行

離れた場所から、相手のコンピューターで好きなプログラムを動かせてしまう攻撃のことです。

ランサムウェア

データを暗号化するなどして使えなくし、元に戻すことと引き換えに金銭を要求する不正なプログラムです。

認証

アクセスしてきた相手が本人かどうかを、パスワードなどで確かめる仕組みです。