VMWareのSpring Core Javaフレームワークに存在する「 CVE-2022-22965 （新しいタブで開きます）」または「 Spring4Shell」と呼ばれる重大な脆弱性が、公式のCVE公開に先立ち、あるセキュリティ研究者によって漏洩しました。
Spring Frameworkは、最新のJavaベースのエンタープライズアプリケーション向けに包括的なプログラミングおよび設定モデルを提供する、広く利用されているオープンソースのフレームワークです。
Spring Frameworkの広範な利用、公開されているエクスプロイトコード、およびリモートコード実行の脆弱性といった要因がすべて相まって、この脆弱性には「重大（Critical）」というCVSS評価が付けられています。
「 CVE-2022-22965」とは何ですか？
CVE-2022-22965 （別名Spring4Shell ）は、Spring Core Javaフレームワークの脆弱性であり、、Spring MVC （新しいタブで開きます）、、 、および、Spring WebFlux （新しいタブで開きます）、、 で、JDK 9以降で実行されているアプリケーションにおいて、認証なしのリモートコード実行を可能にする恐れがあります。 この脆弱性を悪用するには、脆弱性のあるアプリケーションがTomcat上でWARファイルとしてデプロイされ、実行されている必要があります。
この脆弱性は、Spring Frameworkで使用されるRequestMappingアノテーションを悪用し、正当なリクエストハンドラーへのJavaオブジェクトの注入を可能にします。これにより、Tomcatのロギングプロパティを変更したり、脆弱性のあるTomcatのルートディレクトリにWebシェルをアップロードしたりできる悪意のあるcurlコマンドの注入が可能となります。
Spring4Shellの影響を受けやすいシステムはどれですか？
Spring Framework上で動作するJavaアプリケーションを利用するには、以下の条件を満たす必要があります：
- JDK 9 以降
- サーブレットコンテナとしてのApache Tomcat
- WAR形式でパッケージ化されています
- spring-webmvc または spring-webflux の依存関係
影響を受ける製品およびバージョン：
- Spring Framework
- 5.3.0 から5.3.17
- 5.2.0 から5.2.19
- サポート対象外の古いバージョンも影響を受けます
なぜそれが重要なのでしょうか？
CVE-2022-22965 の概念実証コードは広く入手可能であり、脅威アクターによって悪用される可能性が高いと考えられます。 特定の構成環境においては、 Spring4Shell の脆弱性を悪用するには、攻撃者が脆弱性のあるシステムに対して特別に細工されたHTTPリクエストを送信するだけで済みます。 この攻撃が成功した場合、認証されていない攻撃者が、標的となるシステム上で任意のコードを実行できるようになってしまいます。
Spring Frameworkの広範な利用状況およびこの脆弱性の深刻度を踏まえ、脆弱性 CVE-2022-22965 には「重大」（CVSSスコア9.8）の評価が付けられました。
Taniumがどのように役立つか
VMWareでは、影響を受けるお客様に対し、アプリケーションの要件に応じて、バージョン 5.3.18 以降、またはバージョン5.2.20 以降へのアップグレードをお勧めします。 現時点でアップグレードができないお客様向けの回避策については、「Spring Framework RCE、早期告知」というブログ記事に記載されています。 （新しいタブで開きます）
Taniumには、お客様が「 Spring4Shell 」の脆弱性の影響を受ける資産を迅速かつ簡単に特定し、対策を講じ、その脆弱性の状況を追跡するのに役立つツールがいくつか用意されています。
Tanium Interact を使用することで、企業全体で脆弱性がある可能性のあるシステムを特定することができます。 これにより、対応担当者はエンドポイントに質問を行い、迅速かつ包括的な回答を得ることができるようになります。
の「Tanium Reveal Quick Search」 機能を使用すると、さらなる調査の対象となり得る候補を迅速に特定することができます。
今日のエンドポイント環境は常に変化しているため、継続的な追跡には、 （Tanium Asset ）および （Tanium Trends ）のご利用をご検討ください。 Tanium Assetは、ハードウェアおよびソフトウェア資産の包括的なインベントリを提供し、Tanium Trendsは、セキュリティ指標や運用状態に関する継続的な洞察を提供します。
Please read this article for more information from our Tanium Community on how to use these products to find, patch and track CVE-2022-22965. また、同様の脆弱性に関する情報については、 をご覧ください。当社の「Emerging Issues Blog」もぜひご参照ください。
