CVE-2022-22965 — Spring4Shell セキュリティ運用分析

ハンズオン形式のセキュリティ運用センター（SOC）シミュレーションです。情報セキュリティアナリストの役割を担い、活発なSpring4Shell悪用試行に対応しました。このリポジトリは、初期検知から分析、緩和に至るまでの完全なインシデント対応ライフサイクルを文書化しています。

免責事項: 本プロジェクトは教育目的でForageのサイバーセキュリティ職務シミュレーションの一環として完了しました。すべての分析は管理されたシミュレーション環境で実施されました。

---

CVE-2022-22965（Spring4Shell）について

Spring4Shellは、Spring Frameworkにおける重大なリモートコード実行の脆弱性です。攻撃者はパラメータバインディングメカニズムを悪用してJavaクラスのプロパティに不正アクセスし、完全なリモートコード実行を可能にします。

• 深刻度: 重大（CVSS 9.8）
• 影響を受けるバージョン: Spring Framework 5.3.0–5.3.17、5.2.0–5.2.19、およびそれ以前
• 攻撃ベクトル: パラメータバインディングを悪用する悪意のあるHTTP POSTリクエスト

---

タスク1 — インシデントトリアージと通知

目的: ファイアウォールログを分析して侵害されたインフラを特定し、脅威の深刻度を評価し、適切なチームに通知する。

ファイアウォールログ分析

ファイアウォールログを確認したところ、/tomcatwar.jspを標的とした不審なHTTP/1.1 POSTリクエストのパターンが明らかになりました。これらはすべて、Spring4Shell悪用の特徴であるclass.module.classLoaderパラメータチェーンを含んでいました。

調査結果

インシデント通知

脅威を確認した後、NBNチームにインシデント通知を作成し送信しました。状況、影響を受けたシステム、必要な即時対応の正確な要約を含めています。

---

タスク2 — 脅威分析と緩和

目的: 攻撃パターンのより深い分析を実施し、悪用の仕組みを理解し、脅威を封じ込めるためのファイアウォールルールを作成する。

攻撃の特徴

ファイアウォールログのPOSTリクエスト構造の分析から：

• リクエストメソッド: HTTP/1.1 POST
• ターゲットパス: /tomcatwar.jsp
• 悪意のあるパラメータ: class.module.classLoader.resources.context.parent.pipeline.first.pattern
• 手法: Java ClassLoaderにアクセスするためのパラメータバインディング操作、TomcatのwebappsディレクトリへのJSP webshellの書き込み、永続的なリモートコード実行の確立

提案されたファイアウォールルール

攻撃の各段階をブロックするために多層的なアプローチを使用しました。

ファイアウォールルールリクエスト

緩和戦略を定義した後、発生中の攻撃に関する完全な技術的文脈とともに、必要なファイアウォールルールをネットワークチームに伝えました。

---

侵害の主な指標

• HTTP POSTデータにclass.module.classLoaderパラメータチェーンが存在
• /tomcatwar.jspを標的としたPOSTリクエスト
• Tomcatのwebappsディレクトリへのファイル書き込み試行
• pipeline.first.patternプロパティの操作

---

実証されたスキル

• ファイアウォールログ分析とトラフィックパターン認識
• CVE調査と概念実証分析
• インシデントトリアージと優先度評価
• ステークホルダーとのコミュニケーション（技術者・非技術者）
• ファイアウォールルール設計と多層防御戦略

---

シミュレーション詳細

• 作成者: Shakur OuroGouni
• 役割: 情報セキュリティアナリスト
• プラットフォーム: Forage
• 完了日: 2026年1月14日