Spring Security の脆弱性 CVE-2026-59270 が FIX：UnboundID LDAP サーバの 2 つの欠陥

Critical Spring Security LDAP Flaw Lets Remote Attackers Read and Modify Directory Data

2026/08/21 gbhackers — Spring Security に組み込まれている UnboundID LDAP サーバに、深刻な脆弱性が確認された。この欠陥を突くリモート攻撃者は、既知の Admin バインド DN を悪用して認証を回避し、アプリケーションのインメモリ LDAP ディレクトリに保存されたデータの読み取り／変更を行う可能性がある。2026年8月20日に公表された脆弱性 CVE-2026-59270 が影響を及ぼす範囲は、Spring Security の UnboundIdContainer を直接使用するアプリケーションおよび、Spring Boot の組み込み LDAP 自動設定を介して使用されるアプリケーションである。

Spring Security に組み込まれた LDAP サーバの深刻な脆弱性

影響を受けるコンポーネントは、主として組み込み LDAP のユースケース向けに設計されている。しかし、安全ではないデフォルト設定により、攻撃者が制御するネットワークからリスナーへアクセス可能な場合、機密性の高いディレクトリ・データが露出する可能性がある。

この脆弱性は、Spring Security の組み込み UnboundID LDAP サーバにおける 2 つの問題に起因する。1 つ目は、UnboundIdContainer が無条件で Admin 認証情報を登録することであり、2 つ目は、LDAP リスナーが利用可能な全ネットワーク・インターフェイスにバインドされることである。この 2 つの問題により、LDAP サービス・ポートへ接続可能な攻撃者は、予測可能な Admin バインド DN を使用して認証できる。

認証後の攻撃者は、インメモリ・ディレクトリへの Admin レベルのアクセスを取得し、LDAP エントリの列挙／データの取得／変更を行う可能性がある。したがって、組み込みディレクトリに格納されるデータとアプリケーションによる利用方法に応じて、ユーザーの識別情報／グループ／ロール／テスト用認証情報／認可属性／アプリケーション固有の設定データが露出する可能性がある。

この脆弱性は、明示的な設定や、”spring.ldap.embedded.*” で始まる Spring Boot プロパティの使用により、アプリケーションが UnboundIdContainer を使用するよう設定されている場合に悪用される。それに加えて、攻撃者による LDAP リスナーへのアクセスも必要となるため、ポートが localhost のみに制限されている環境や、ネットワーク・ファイアウォール／ポリシーによりブロックされている環境は、リモートからの悪用を受けない。

提示された CVSS v3.1 ベクター “AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L” は、攻撃の複雑さが低く／認証が不要で／ネットワーク経由で悪用可能であり、機密性／完全性へ大きな影響を及ぼすことを示している。可用性への影響は低いと評価されているものの、ディレクトリへの未認可の変更によって認証プロセスの中断／アプリケーションのテスト用データの破損などが生じるほか、LDAP エントリが認可判断に影響を及ぼす環境では、権限の不正な変更につながる可能性がある。

影響を受ける Spring Security のバージョンは、7.1.0／7.0.0〜7.0.6／6.5.0〜6.5.11／6.4.0〜6.4.18／5.8.0〜5.8.27／5.7.0〜5.7.25 であり、該当する組織では Spring Security 7.1.1／7.0.7 へアップグレードすることが求められる。商用サポートを利用する顧客には、最新ブランチ向けの 7.1.0.1／7.0.6.1 に加え、旧ブランチ向けの 6.5.12／6.4.19／5.8.28／5.7.26 も、修正版保守リリースとして提供される。

Spring によると、アップグレード後に追加の緩和策は不要であるが、パッチ適用までの期間においては、外部公開された LDAP ポートを直ちに監査する必要がある。さらに、ホスト・ファイアウォール／ネットワーク・セグメンテーションを使用して、組み込み LDAP リスナーへのアクセスを制限することが推奨される。

Spring Security に組み込まれた LDAP サーバ機能において、初期設定の不備に起因する重大なセキュリティ上の欠陥が発見されました。今回の問題 CVE-2026-59270 では、管理者情報の自動登録と外部接続可能なネットワークバインドが重なることで、攻撃者による認証通過／ディレクトリデータの閲覧／データの改ざん／不正な権限変更といった甚大な被害が発生する恐れがあります。安全な運用環境を確保するためには、修正版バージョンへの更新／不要な外部アクセスの遮断／ネットワーク機器によるフィルタリングの徹底が強く求められます。