Create a Post
cancel
Showing results for 
Search instead for 
Did you mean: 
NaoHamada
Employee
Employee

Spring4Shellについて

Spring4Shell 概要

Spring Framework のコアモジュール(Spring Core)によってリモートのコード実行が可能であるという脆弱性が発見されました。2021年12月頃に問題となったApache Log4jの脆弱性(俗称: Log4Shell)を彷彿とさせることからSpring4Shellとも呼ばれています。JDK 9以降にてSpring MVCあるいはSpring WebFluxでアプリケーションを実行している環境に影響があります。データバインディングを介してリモートからコード実行される可能性があります。CVE-2022-22965が採番されており、CVSSv3の深刻度スコアは9.8です。 

Spring4Shell これまでの経緯

3月29日から30日にかけてVMWareに対してこの脆弱性が報告され、VMWareは31日の緊急リリースに向けて対応を急いでいました。30日にGitHubでPoCコードが投稿され脆弱性が一般にも明らかになりました。2021年12月のLog4jの脆弱性(俗称Log4Shell)を彷彿とされることからSpring4Shellと呼ばれ出しました。VMWareからも公式に情報を公開し、この脆弱性に対処したバージョン 5.3.18と5.2.20を公開しました。また、関連するSpringBootに関しても2.6.6と2.5.12を公開しました。その後、31日深夜頃にCVE-2022-22965が採番されています。(CVSSv3スコア9.8) 

 

解決方法

2022年3月29日、Spring Cloudで新たに3つのCVEが公開されましたCVE-2022-22963CVE-2022-22946CVE-2022-22947です。

2022年3月31日、CVE-2010-1622の修正へのバイパスがPraetorianによって公開され、Spring4Shellというニックネームがつけられました(JDK9+上のSpring Coreはリモートコード実行の脆弱性があるを参照)。その後、CVE-2022-22965に割り当てられました。

この脆弱性は、当社のInfinityポートフォリオ(Quantum Gateways、SMART Management、Harmony Endpoint、Harmony Mobile、SMB、ThreatCloud、CloudGuardを含む)に影響しないことを確認しました。

製品

ステータス

Quantum Security Gateway

脆弱性なし

Quantum Security Management

脆弱性なし

CloudGuard

脆弱性なし

Infinity Portal

脆弱性なし

Harmony Endpoint & Harmony Mobile

脆弱性なし

Harmony Connect

脆弱性なし

SMB

脆弱性なし

ThreatCloud

脆弱性なし

 

補足:すべてのチェック・ポイントソフトウェアバージョン(サポート対象外を含む)において、本件の脆弱性はありません。また、すべてのアプライアンスにおいても、本件の脆弱性はありません。

IPS保護

チェックポイントは以下のIPS保護をリリースしました。

 

また、攻撃用のペイロードは暗号化または復号化されたトラフィックに含まれる可能性があるため、チェック・ポイントでは HTTPS 検査を有効にすることを推奨します(Security Gateway のプロパティ → HTTPS Inspection ビューを選択します)。

IPSおよびAppSecで脆弱性を保護します。チェック・ポイントブログ

 

本件についての最新情報はsk178605をご参照ください。

0 Kudos
0 Replies