Spring Framework のパス・トラバーサル脆弱性 CVE-2024-38819：PoC が公開

CVE-2024-38819: Spring Framework Path Traversal PoC Exploit Released

2024/12/15 SecurityOnline — Spring Framework に存在する脆弱性 CVE-2024-38819 (CVSS 7.5) に対する、PoC エクスプロイト・コードが公開された。この脆弱性の悪用に成功した攻撃者は、パス・トラバーサル攻撃の可能性を手にする。それに続いて、影響を受ける Spring アプリケーションをホスティングするサーバ上の、機密ファイルへのアクセス権限を獲得する恐れも生じる。

この脆弱性の影響を受けるのは、Web フレームワーク WebMvc.fn または WebFlux.fn を使用して、静的リソースを提供するアプリケーションである。この脆弱性を悪用する攻撃者は、悪意の HTTP リクエストを作成することで、基盤となるファイル・システム上の機密ファイルへのアクセス権限を獲得する。ただし、この脆弱性の悪用の前提として、脆弱な Spring アプリケーションにおいて実行されるプロセスが、それらのファイルにアクセスできる状態になっている必要がある。

この脆弱性 CVE-2024-38819 に対する PoC エクスプロイト・コードが、発見者／報告者である Aeye Security Lab の Masato Anzai から、GitHub に公開された。この脆弱性は、適切なセキュリティ対策を講じずに、静的リソースを提供するアプリケーションに対して、深刻な脅威をもたらす。

この脆弱性は、以下のバージョンの Spring Framework に影響を与える：

• 5.3.0〜5.3.40
• 6.0.0〜6.0.24
• 6.1.0〜6.1.13
• 上記のバージョン以下の、サポート対象外のバージョンのフレームワークも脆弱である。

すでに Spring Framework チームは、この脆弱性に対応するパッチ (5.3.41／6.0.25／6.1.14) を発行している。ユーザーに対して推奨されるのは、それらのパッチを直ちに適用することだ。

今年は、複数の Spring Framework 脆弱性が公開された年でもありました。直近の関連トピックは、2024/10/17 の「Spring Framework の脆弱性 CVE-2024-38819 が FIX：CVSS 7.5 のパス・トラバーサル」となっています。よろしければ、Spring Framework で検索も、ご参照ください。