Spring – IoT OT Security News

Spring Security の脆弱性 CVE-2025-22234 が FIX：タイミング攻撃を可能にするバグが混入

Spring Security Vulnerability Exposes Valid Usernames to Attackers

2025/04/25 gbhackers — Spring Security で発見されたセキュリティ脆弱性 CVE-2025-22234 により、広く使用されているフレームワークの深刻な弱点が露呈した。この脆弱性は spring-security-crypto パッケージの複数のバージョンに影響するものであり、ログイン応答時間の顕著な差を分析する攻撃者が、有効なユーザー名を判別できるようになるため、タイミング攻撃の攻撃経路となると、HeroDevs のレポートが指摘している。

Spring Securityの２つの深刻な脆弱性 CVE-2025-22223／22228 が FIX：認証バイパスの可能性

Spring Security Updates Address Authorization Bypass and Password Length Vulnerabilities

2025/03/20 SecurityOnline — Java ベース・アプリで広く使用されるフレームワーク Spring が公開したのは、認証バイパスと脆弱なパスワード強制につながる、２つの深刻なセキュリティ脆弱性に関する情報である。脆弱性 CVE-2025-22223／CVE-2025-22228 は、Spring Security の複数バージョンに影響を及ぼすものであり、開発者による即時の対応と、リスクの軽減を必要とするものだ。

Spring Boot Actuator のミスコンフィグ：クラウド環境に生じる隠れたリスクとは？

Spring Boot Actuator Misconfigurations: The Hidden Security Risks in Cloud Environments

2024/12/17 SecurityOnline — Spring Boot Actuator の深刻なミスコンフィグにより、機密データが露出し、クラウド環境でリモート・コード実行 (RCE) が生じると、Wiz Threat Research の最新レポートが警告している。クラウド・デプロイメントの 60% 以上において、Spring Boot Actuator が活用されているため、適切なセキュリティ対策を実装しない限り、数多くのユーザー組織が危険にさらされ続ける。

Spring WebFlux の認証バイパスの脆弱性 CVE-2024-38821：PoC エクスプロイトが公開

PoC Exploit Releases for Spring WebFlux Authorization Bypass – CVE-2024-38821

2024/11/01 SecurityOnline — Spring WebFlux の脆弱性 CVE-2024-38821 (CVSS 9.1) に対する、技術的詳細と PoC エクスプロイト・コードが公開された。この脆弱性は、特定の条件下における限定的なリソースへのアクセスを、攻撃者に対して許すものであり、Spring の WebFlux モジュールに依存するアプリケーションに深刻な脅威をもたらす。

Spring WebFlux の認証バイパスの脆弱性 CVE-2024-38821 が FIX：直ちにアップデートを！

CVE-2024-38821 (CVSS 9.1) Allows Authorization Bypass in Spring WebFlux Applications

2024/10/28 SecurityOnline — Spring Security が公開したのは、WebFlux アプリケーションに影響を及ぼす可能性のある、深刻な脆弱性 CVE-2024-38821 (CVSS：9.1) のセキュリティ・アドバイザリである。この脆弱性が悪用されると、特定の条件下において、WebFlux アプリケーション内で認証バイパスが可能になり、静的リソースへの不正アクセスが生じる恐れがある。それにより攻撃者は、アプリケーションのセキュリティを損なう可能性を手にする。

Apache Roller の CSRF 脆弱性 CVE-2024-46911 が FIX：直ちにアップデートを！

Apache Roller Patches CSRF Flaw CVE-2024-46911 in Latest Update

2024/10/13 SecurityOnline — 人気の Java ベースのブログ・プラットフォームである、Apache Roller に対するセキュリティ・アップデートがリリースされた。このアップデートで修正された、深刻な CSRF (Cross-site Request Forgery ) の脆弱性 CVE-2024-46911 により、攻撃者はマルチ・ユーザーの Roller サイト上で権限昇格の可能性を得る。

Spring Framework の脆弱性 CVE-2024-38816 が FIX：データ漏洩などが生じる恐れ

CVE-2024-38816: Spring Framework Path Traversal Vulnerability Threatens Millions

2024/09/15 SecurityOnline — 人気の Spring Framework に、深刻なセキュリティ脆弱性 CVE-2024-38816 (CVSS 7.5) が発見され、世界中の何百万もの Java アプリケーションに影響を及ぼす可能性が生じている。このパス・トラバーサルの脆弱性により、攻撃者はサーバ上の機密ファイルへの不正アクセスを達成し、データ漏洩やシステム侵害などの深刻な被害をリスクをもたらす可能性を手にする。

Spring Cloud Data Flow のファイル書き込みの脆弱性 CVE-2024-22263：PoC が提供

PoC Exploit Released for Arbitrary File Write Flaw (CVE-2024-22263) in Spring Cloud Data Flow

2024/08/27 SecurityOnline — クラウドベースのデータ処理に広く使用されている、Spring Cloud Data Flow に存在する任意のファイル書き込みの脆弱性 CVE-2024-22263 に対する PoC エクスプロイト・コードが、SecureLayer7 のセキュリティ研究者である Zeyad Azima により公開された。この脆弱性の悪用に成功した権限のない攻撃者は、ファイル・システム上の任意の場所に任意のファイルを書き込むことが可能になるため、サーバ全体が危険にさらされる可能性が生じる。

Spring Security の脆弱性 CVE-2024-38810 が FIX：アプリに未認証アクセスの可能性

CVE-2024-38810: Spring Security Flaw Leaves Applications Open to Unauthorized Access

2024/08/20 SecurityOnline — Spring Security で、深刻度の高い脆弱性 CVE-2024-38810 が発見された。この脆弱性の影響を受けるアプリケーションにおいては、機密データへの不正アクセスが生じる可能性があるという。この脆弱性は、Spring Security のバージョン 6.3.0／6.3.1 に影響を及ぼす。

Spring Cloud Data Flow の脆弱性 CVE-2024-37084 (CVSS：9.8) が FIX：直ちにアップデートを！

CVE-2024-37084 (CVSS 9.8): Remote code execution in Spring Cloud Data Flow

2024/07/25 SecurityOnline — Cloud Foundry と Kubernetes 環境でマイクロサービス・ベースとして使用される、ストリーミング／バッチデータの処理プラットフォーム Spring Cloud Data Flow の、脆弱性 CVE-2024-37084 (CVSS：9.8) に関するセキュリティ・アドバイザリが公開された。

Spring Cloud の脆弱性 CVE-2024-22263 が FIX：サーバ乗っ取りが生じる恐れ

CVE-2024-22263 Flaw in Spring Cloud Data Flow Could Lead to Server Takeover

2024/05/29 SecurityOnline — Cloud Foundry および Kubernetes 環境において、マイクロ・サービス・ベースのストリーミング／バッチ・データ処理に広く使用されている、Spring Cloud Data Flow フレームワークに脆弱性 CVE-2024-22263 が発見された。この脆弱性は深刻度が高いとされており、攻撃者に、任意のファイル書き込みを許し、深刻なサーバ侵害につながる恐れがある。

Spring Framework の深刻な脆弱性 CVE-2024-22262 が FIX：SSRF 攻撃などが発生する可能性

CVE-2024-22262: Spring Framework Hit by New Vulnerability, Urgent Update Needed

2024/04/12 SecurityOnline — 広範に利用されている Spring Framework ソフトウェアに存在する、深刻度の高いセキュリティ上の欠陥 CVE-2024-22262 が、新たに発見された。この脆弱性により、無数のアプリケーションに対して、リダイレクト攻撃やサーバ・サイド・リクエスト・フォージェリ (SSRF) 攻撃が発生する可能性があると、研究者たちが警告している。

Spring Security の脆弱性 CVE-2024-22257 が FIX：機密システムへの不正アクセスが生じる恐れ

CVE-2024-22257: Spring Security Flaw Opens Door to Broken Access Control Attacks

20224/03/18 SecurityOnline — Java ベースのアプリケーション保護に広く使われているフレームワーク Spring Security に、深刻な脆弱性が発見された。この脆弱性は CVE-2024-22257 (深刻度 “High”) の悪用に成功した攻撃者は、認証をバイパスして機密システムに不正アクセスすることが可能になるという。

Spring Framework の脆弱性 CVE-2024-22259 が FIX：直ちにアップデートを！

CVE-2024-22259: Spring Framework Update Fixes High-Severity Flaw

2024/03/14 SecurityOnline — 多くの Java ベースのアプリケーションの基礎となっている、人気の Spring Framework に存在する、深刻度の高い脆弱性 CVE-2024-22259 が修正された。この脆弱性は、EcoFlow Intelligent Terminal の threedr3am により発見されたものだ。

Spring Security の脆弱性 CVE-2024-22234 が FIX：直ちにアップデートを！

Spring Security Vulnerability (CVE-2024-22234): Mitigating Broken Access Control

2024/02/20 SecurityOnline — 先日に公開された Spring Security の脆弱性 CVE-2024-22234 (CVSS：7.4) は、影響を受ける Java Web アプリケーション内において、不正アクセスを生じる可能性があるものだ。Spring Security を認証／認可に利用している場合には、潜在的なリスクに対処するために、緩和策を優先的に実施する必要がある。

Spring Framework の脆弱性 CVE-2024-22233 が FIX：DDoS の可能性

CVE-2024-22233: A high-severity Spring Framework Vulnerability

2024/01/22 SecurityOnline — Spring Framework はオープンソースの Java プラットフォームであり、エンタープライズ・アプリケーション開発のための、包括的なインフラ・サポートを提供している。基本的には、定型的なコードや一般的なタスクを処理することで開発プロセスを簡素化し、アプリケーションのコアとなるビジネスロジックの記述に、開発者が集中できるようにするためのツールキットである。

Spring WebFlux の深刻な脆弱性 CVE-2023-34034 が FIX：PoC エクスプロイトも登場

High-Severity Access Control Vulnerability Found in Spring WebFlux

2023/08/09 InfoSecurity — Spring Security の最新バージョンに、新たな脆弱性 CVE-2023-34034 (CVSS：9.8) が見つかった。Spring Security は Java ベースの Spring フレームワークの不可欠なパートであり、強固な認証とアクセス制御に対応している。その幅広いユーザー・ベースにより、このセキュリティ上の脆弱性が悪用されると、壊滅的な結果につながる可能性が生じる。

CISA 警告 22/08/25：Delta／Apache／Grafana／Apple など 10件が KEV リストに追加

CISA: Vulnerability in Delta Electronics ICS Software Exploited in Attacks

2022/08/26 SecurityWeek — Delta Electronics の産業用オートメーション・ソフトウェアに影響を及ぼす脆弱性が攻撃に悪用されているため、Cybersecurity and Infrastructure Security Agency (CISA) から各組織に対して早急な対処が要求されている。火曜日に CISA は、10件のセキュリティ欠陥を Known Exploited Vulnerabilities Catalog (KEV) に追加し、9月15日までに対処するよう、連邦政府機関に指示した。

EnemyBot の狙う脆弱性がエグイ：即座に VMware／Spring／F5 BIG-IP に対応

EnemyBot malware adds exploits for critical VMware, F5 BIG-IP flaws

2022/05/29 BleepingComputer — 複数のマルウェア・コードをベースにしたボットネット EnemyBot は、Webサーバー／CMS／IoT／Android 端末などで公開されたばかりの、深刻な脆弱性の悪用に迅速に対応し、その範囲を拡大している。このボットネットは、Securonix の研究者により 3月に初めて発見され、Fortinet から新しいサンプルの分析結果が提供された 4月には、すでに 12種類以上のプロセッサ・アーキテクチャの不具合を統合していた。このマルウェアは、分散型サービス拒否 (DDoS) 攻撃を主目的としており、新しいターゲット・デバイスをスキャンして感染させるモジュールも備えている。

Spring Java Framework のゼロデイ脆弱性 CVE-2022-22963：RCE 防御のための緩和策

New Spring Java framework zero-day allows remote code execution

2022/03/30 BleepingComputer — Framework Spring Core の新たなゼロデイ脆弱性 Spring4Shell が公開され、それを利用するアプリケーション上で、未認証のリモートコード実行が可能になることが明らかにされた。Spring は、エンタープライズ・レベルの機能を持つ Java アプリケーションを、迅速かつ容易に開発できるようにするため、ソフトウェア開発者にとって極めて人気の高いアプリケーション・フレームワークである。それらのアプリケーションは、必要な依存関係をすべて備えたスタンドアロン・パッケージとして、Apache Tomcat などのサーバーにディプロイできる。