Spring Frameworkの脆弱性 CVE-2022-22965（Spring4shell）についてまとめてみた - piyolog

2022年3月31日、Spring Frameworkに致命的な脆弱性が確認され、修正版が公開されました。ここでは関連する情報をまとめます。 １．何が起きたの？ JDK9以上で実行されるSpringMVC、SpringWebFluxでリモートコード実行が可能な脆弱性（CVE-2022-22965）が確認された。脆弱性の通称にSpring4shellまたはSpringShellが用いられている。 Spring FrameworkはJavaで採用される主流なフレームワークの1つのため、Javaで実行されるWebアプリケーションで利用している可能性がある。 2022年3月31日時点で脆弱性のExploitコードが出回っており、関連するインターネット上の活動が既に報告されている。 ２．脆弱性を悪用されると何が起きるの？ 脆弱性を悪用された場合、リモートから任意コード実行が行われることで、機密情報の

[koroharo]

こちらはJDK6の世界線です。そちらはお元気ですか。

[koubyint]

JDK8が主力の世界線なのでセーフ！！

[homarara]

log4jに続いてまたしても、旧バージョンを平気で使い続けたオールドタイプの弊社は神回避。

[kazokmr]

組み込みtomcat使ってて、jarでパッケージングしてるbootアプリは対象外ってことかな？ちゃんと問題を確認してないけど。

[gakuhiro]

今のプロジェクトがJava6からJava8への移行だから関係なさそう。

[ryunosinfx]

CVSSv3 9.8！ Log4Shellの10には及ばないものの、かなりヒャッハーな高ポイント！神回避は何時まで可能なのか！？

[buzztaiki]

exploit 見たら懐かしの https://piyolog.hatenadiary.jp/entry/20140417/1397750197 と似てると思った。

[cubed-l]

JetBrainsの2020年のBlog記事に寄ればJava8に留まっているところが多いんだとか。2022年でもあまり変わってないというのが俺の感覚ですが、皆様いかがでしょうか。 https://blog.jetbrains.com/ja/idea/2020/10/a-picture-of-java-in-2020-ja/

[JULY]

なんか、Java 8 以下の方が多そうで、なにかほっこりするような、それで良いのかみたいな。そういう私から見えているプロジェクトも Java 8 ですが。

[strawberryhunter]

弊社は最新のJDKを使いつつ、高みの見物。Log4jも無関係だった。↓PHPじゃあるまいし、OpenJDKにしてどんどんバージョン上げたらいいよ。

[tmatsuu]

JDK9以上でTomcatをサーブレットコンテナとして使用しWARファイルとしてパッケージ化、さらにsprint-webmvcまたはspring-webluxとの依存関係がある場合。多そうだ。

[k1take]

ブコメ、JDK6とJDK8を使ってて回避できてる人が多くて良かった…のかな？（JDK6がリリースされたの16年前なのか…）

[wisboot]

なんという高リスク脆弱性。環境が当たると当該サーバの全権限が掌握されてしまう、ヤバすぎ／なおウチは6なので何も関係ない模様(というかSpring自体使ってない化石

[habarhaba]

うちも実はJava8

[IGA-OS]

CVE番号も採番されたんか。対応される各位お疲れさまです

[ysksy]

Java9なんて業務で使ったことないからセーフ。先日陳情してひとつのプロジェクトをJava7に上げる許可が降りたとこだぜ。

[ka-ka_xyz]

今の会社に移ってからSpringは全く触らなくなってしまったけど(というかjavaからTSに完全移行してしまったけど)、結構大変な事になってるのね… tomcat限定？

[rryu]

緩和策が要するに「怪しいリクエスト受けないようアプリケーション全体を改修する」なので素直にバージョンアップした方が早そうな気がするという地獄の始まり感…

[coolworld]

JDK8 SpringBoot1系な世界線で助かった。。。そろそろなんとかしたい

[hiby]

>JDK9以上で実行される　なるほど(察)

[Cald]

JDK8でセーフ()

[houyhnhm]

うおっ

[kootaro]

毎回わかりやすいまとめありがとうございます。社内に共有させて頂きました。

[sigeharucom]

2022/04/01 17:10現在 修正された2.6.4、2.5.12のファイルは上がっていない https://mvnrepository.com/artifact/org.springframework.boot/spring-boot https://github.com/spring-projects/spring-boot/releases/tag/v2.6.6 https://github.com/spring-projects/spring-boot/releases/tag/v2.5.12

[n_y_a_n_t_a]

Spring Frameworkについては直前にCVE-2022-22963が出ていたので普通に混乱した（老眼定期

[urd0401]

春が来た

[tukanana]

[secu