🚨 CVE-2022-22965 — "Spring4Shell"

重大なリモートコード実行 (RCE) 脆弱性

公開開示日: 2022年3月31日

📖 目次

概要
影響を受けるコンポーネント
技術的根本原因
悪用条件
影響
深刻度とCVSS
緩和策とパッチ
タイムライン
Log4Shellとの比較
まとめ

🔎 概要

Spring4Shell は CVE-2022-22965 の通称であり、Springのデータバインディングメカニズムにおける脆弱性で、攻撃者が リモートコード実行 (RCE) を達成する可能性があります。

主に以下のアプリケーションが影響を受けました:

:contentReference[oaicite:1]{index=1}
WARファイルとしてパッケージ化
:contentReference[oaicite:2]{index=2} にデプロイ
:contentReference[oaicite:3]{index=3} 9 以降 で稼働

🧠 技術的根本原因

Spring MVC は HTTP リクエストパラメータを Java オブジェクトフィールドに自動的にマッピングします。これは データバインディング と呼ばれるプロセスです。

特定の条件下では、攻撃者は以下のことが可能でした:

細工された HTTP パラメータを通じてオブジェクトのプロパティを操作する
内部クラスローダのプロパティにアクセスする
Tomcat の設定を変更する
悪意のある JSP ファイル（Web シェル）をディスクに書き込む

これにより、最終的にサーバ上での任意のコード実行が可能になりました。

⚙️ 悪用条件

Spring4Shell は 普遍的に悪用できるわけではありませんでした。以下のすべてが真である必要がありました:

✔ Java 9+ で動作していること
✔ 脆弱な Spring バージョン (5.3.0–5.3.17 または 5.2.0–5.2.19) を使用していること
✔ WAR ファイルとしてデプロイされていること
✔ Apache Tomcat で動作していること
✔ リクエストパラメータに対してデータバインディングが有効であること

Spring Boot 実行可能 JAR としてパッケージ化されている場合、悪用は通常不可能でした。

💥 潜在的な影響

悪用に成功した場合、攻撃者は以下のことが可能でした:

Web シェル (JSP) をアップロードする
任意のシステムコマンドを実行する
機密アプリケーションデータにアクセスする
内部ネットワークにさらに侵入する
アプリケーションサーバを完全に侵害する

📊 深刻度とCVSS

指標	値
CVE ID	CVE-2022-22965
CVSSスコア	9.8 (重大)
攻撃元	ネットワーク
認証要求	❌ いいえ
ユーザー操作	❌ なし
影響	完全なRCE

🛠 緩和策とパッチ

✅ 公式修正

以下にアップグレード:

Spring Framework 5.3.18
Spring Framework 5.2.20

Spring Boot のバージョンもそれに応じて更新されました。

🔒 推奨される強化策

WAR ではなく JAR パッケージングを推奨
Java ランタイムをアップグレード
書き込み可能なディレクトリを制限
不要なバインディングフィールドを無効化
不審なファイル作成を監視
Web アプリケーションファイアウォール (WAF) を導入

🗓 タイムライン

日付	イベント
2022年3月	脆弱性が報告される
2022年3月31日	公開開示
同日	パッチリリース
その後	世界中でセキュリティスキャンが開始

🔥 Spring4Shell と Log4Shell の比較

特徴	Spring4Shell	Log4Shell
フレームワーク	Spring Framework	Apache Log4j
CVE	2022-22965	2021-44228
悪用の複雑さ	中程度（条件が必要）	非常に低い
デフォルトの露出	限定的	広範囲
CVSS	9.8	10.0

Spring4Shell も深刻でしたが、Log4Shell の方が現実世界での露出が広範でした。

📌 まとめ

フィールド	値
名称	Spring4Shell
CVE	CVE-2022-22965
タイプ	リモートコード実行
影響を受けるソフトウェア	Spring Framework
深刻度	重大
パッチの有無	はい
悪用条件	特定の設定が必要

⚠️ 最後に

Spring4Shell は、最新のフレームワークにおける複雑なオブジェクトバインディングとリフレクションが、予期しない攻撃対象領域をもたらす可能性があることを示しました。

Log4Shell ほどの世界的な影響はありませんでしたが、影響を受ける環境では即時のパッチ適用が必要な重大な脆弱性であることに変わりはありません。

CVE-2022-22965

人気