Spring4Shell（CVE-2022-22965）

何が起きた

アプリを作るための枠組み「Spring Framework」の、Spring MVC や Spring WebFlux を使ったアプリに弱点がありました。JDK 9 以降で動いている場合、「データバインディング」という仕組みを通じて、攻撃者が好きに選んだプログラムを実行できてしまう（リモートコード実行）可能性があります。知られている攻撃方法は、アプリが Tomcat の上で WAR という形で動いている場合に限られますが、データによると、弱点の性質上、ほかの攻撃方法がある可能性もあります。この脆弱性は、実際に悪用が確認されたものとしてKEVに載っています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

JDK 9 以降で動いている、Spring MVC または Spring WebFlux のアプリが対象です。知られている攻撃方法は、Tomcat の上で WAR として動かしている場合に使えます。初期設定どおり Spring Boot の実行可能な jar として動かしている場合は、この攻撃方法では影響を受けません。影響を受ける Spring Framework のバージョンは、このデータからは不明です。

何をすればいい

古い事例ですが、今でも修正されていない Spring Framework を使ったアプリが動いていないか確認してください。jar で動かしていても、ほかの攻撃方法がある可能性があるため、メーカー（VMware）の案内に従って更新し、詳しくは公式情報を確認してください。

用語メモ

フレームワーク

アプリを作るときに使う、よく使う機能をまとめた土台となるソフトウェアです。

データバインディング

利用者から送られてきた値を、プログラムの中のデータに自動で当てはめる仕組みです。

Tomcat

Javaで作られたWebアプリを動かすためのソフトウェア（アプリケーションサーバー）です。

WAR

Javaで作ったWebアプリを、Tomcatなどに置いて動かすためにまとめたファイルの形式です。