VMware Tanzu Spring Cloud Configuration (Config) Server のパストラバーサルの脆弱性（CVE-2020-5410）

何が起きた

VMware Tanzu の Spring Cloud Config の spring-cloud-config-server という部品に、ディレクトリトラバーサルの弱点が見つかり、実際に悪用が確認されています。攻撃者が細工した URL でリクエストを送ると、本来は渡さないはずの任意の（攻撃者が選んだ）設定ファイルを返させることができます。NVD の評価では、攻撃者はネットワーク経由で、ログインなしに、利用者の操作も必要とせずに攻撃できます。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Spring Cloud Config の設定サーバーを動かしている組織が対象です。影響を受けるのは 2.2.x の 2.2.3 より前、2.1.x の 2.1.9 より前、そしてサポートが終わった古いバージョンです。Spring の勧告では、2.2.0.RELEASE から 2.2.2.RELEASE と、2.1.0.RELEASE から 2.1.8.RELEASE が挙げられています。

何をすればいい

Spring の勧告に従い、2.2.3.RELEASE または 2.1.9.RELEASE 以降に更新されているか確認してください。Spring は、spring-cloud-config-server は必要な相手だけが使える社内のネットワークに置き、Spring Security で守るべきだとも注意しています。あわせて、Spring（VMware Tanzu）の公式の案内を確認してください。

やることチェックリスト

• 2.2.3.RELEASE 以降に更新する
• 2.1 系は 2.1.9.RELEASE 以降に更新する
• 設定サーバーを社内のネットワークだけに置く

用語メモ

ディレクトリトラバーサル 用語集で見る

ファイルの場所を指定する部分に「../」のような文字を入れて、本来は見せない場所のファイルにたどり着く攻撃です。

Spring Security

Spring で作ったアプリに、ログインや利用の許可などの守りを付けるための仕組みです。