VMware Tanzu Spring Cloud のリモートコード実行の脆弱性（CVE-2022-22963）

何が起きた

Spring Cloud Function の、処理の行き先を決める機能（ルーティング）で、細工した SpEL という式を渡すと、遠くからプログラムを動かされたり、サーバー内のデータにアクセスされたりするおそれがある弱点が見つかりました。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Spring Cloud Function の 3.1.6、3.2.2、およびサポートの終わった古い版が対象です。メーカーの案内では、3.2.2 と、3.1.6 以前が影響を受けるとされています。ルーティングの機能を使っている場合が対象です。

何をすればいい

メーカーの案内では、修正版は 3.2.3 と 3.1.7 で、影響を受ける版を使っている場合はそれぞれ対応する修正版に更新するよう求めています。3.2.3 以降、または 3.1.7 以降に更新されているか確認してください。メーカーは、ほかに追加の対策は必要ないとしています。あわせて公式の案内を確認してください。

やることチェックリスト

• 3.2 系は 3.2.3 以降に更新する
• 3.1 系は 3.1.7 以降に更新する
• サポートの終わった古い版を置き換える

用語メモ

SpEL

Spring という仕組みの中で使われる、短い命令を書くための式の言語です。

ルーティング

届いた要求を、どの処理に回すかを決める仕組みです。