Spring Framework の脆弱性 CVE-2024-38819 が FIX：CVSS 7.5 のパス・トラバーサル

Spring Framework Vulnerability CVE-2024-38819: Path Traversal Risk in Web Apps

2024/10/17 SecurityOnline — Spring Framework に、パス・トラバーサル脆弱性 CVE-2024-38819 (CVSS：7.5) が発見された。この脆弱性は、WebMvc.fn／WebFlux.fn の Web フレームワークを介して、静的リソースを提供するアプリケーションに対して、深刻なセキュリティ・リスクをもたらす。

Spring の機能 Web フレームワークである WebMvc.fn／WebFlux.fn を介して、静的リソースが提供される際にパス・トラバーサル脆弱性が発生する。そのため、この脆弱性を悪用する攻撃者は、悪意の HTTP リクエストを作成することで、Spring アプリケーションを実行しているプロセスにおいて、Read／Write が可能なファイルにアクセスできる。攻撃者は、コンフィグ・ファイル／ログ／認証情報などの機密情報を取り込んだ、重要なファイルへのアクセスを得る可能性があるため、潜在的な範囲が広範に及ぶ可能性がある。

Spring Framework のアドバイザリには、「攻撃者は、悪意の HTTP リクエストを作成し、Spring アプリケーションが実行されているプロセスから、アクセス可能なファイル・システム上のあらゆるファイルを取得できる」と説明されている。この脆弱性は、Spring Framework の別のパス・トラバーサル脆弱性である、CVE-2024-38816 を思い出させるが、今回の CVE-2024-38819 には、異なる入力メカニズムが関与している。

脆弱性 CVE-2024-38819 は、Aeye Security Lab の Masato  Anzai と、匿名の研究者により公表された。

CVE-2024-38819 の影響を受ける Spring Framework バージョンは下記の通りだ：

• 5.3.0〜5.3.40
• 6.0.0〜6.0.24
• 6.1.0〜6.1.13
• その他、サポート対象外の古いバージョンにも脆弱性がある。

すでに Spring Framework チームはパッチをリリースし、この問題に対処している。影響を受けるバージョンを使用しているユーザーに対して強く推奨されるのは、以下の修正バージョンへと、ただちにアップグレードすることだ。

• 5.3.x：5.3.41
• 6.0.x：6.0.25
• 6.1.x：6.1.14

Spring Framework に存在する、パストラバーサルの脆弱性 CVE-2024-38819 が FIX とのことです。ご利用のチームは、ご注意ください。文中で指摘されている、別のパス・トラバーサル脆弱性 CVE-2024-38816 については、2024/09/15 の「Spring Framework の脆弱性 CVE-2024-38816 が FIX：データ漏洩などが生じる恐れ」がありますので、よろしければ Spring Framework で検索と併せて、ご参照ください。