Spring Framework および派生フレームワークの spring -beans-*.jar ファイル、または CachedIntrospectionResults.class

以下の詳細はすべて現在確認済みです。生じたいかなる損害についても責任を負いません。

脆弱性の詳細と調査

世界で最も人気のある Java 軽量オープンソースフレームワークの 1 つとして、Spring は開発者がビジネスロジックに集中できるようにし、Java エンタープライズアプリケーションの開発サイクルを簡素化します。

悪用には、DataBinder が有効なエンドポイント（例: リクエストボディからデータを自動的にデコードする POST リクエスト）が必要であり、アプリケーションのサーブレットコンテナに大きく依存します。例えば、Spring が Apache Tomcat にデプロイされている場合、WebAppClassLoader にアクセスできるため、攻撃者は getter と setter を呼び出して、最終的に悪意のある JSP ファイルをディスクに書き込むことができます。ただし、Spring が組み込み Tomcat サーブレットコンテナを使用してデプロイされている場合、クラスローダーは LaunchedURLClassLoader であり、アクセスが制限されます。

しかし、JDK9 以降の Spring Framework では、リモートの攻撃者は、特定の条件を満たすことを前提として、フレームワークのパラメータバインディング機能を通じて AccessLogValve オブジェクトと悪意のあるフィールド値を取得できます。

• この脆弱性を引き起こすには、現在のところ 2 つの基本条件が必要であることがわかっています:
• Spring MVC フレームワークを使用しており、& JDK9 以上であること

(1). JDK のバージョン番号を確認する

組織システムの稼働中のサーバーで "java -version" コマンドを実行し、実行中の JDK バージョンを確認してください。バージョン番号が 8 以下の場合、この脆弱性の影響を受けません。

(2). Spring Framework の使用を確認する

1. 組織システムのプロジェクトが war パッケージの形式でデプロイされている場合、以下の手順で判断します。

• war パッケージを解凍します: war ファイルの拡張子を .zip に変更し、zip ファイルを解凍します。
• 解凍ディレクトリ内で spring-beans-*.jar 形式の jar ファイル（例: spring-beans-5.3.16.jar）を探します。存在する場合、その業務システムは Spring Framework を使用して開発されていることを意味します。
• spring-beans-*.jar ファイルが存在しない場合は、解凍ディレクトリ内に CachedIntrospectionResuLts.class ファイルが存在するかどうかを探します。存在する場合、その業務システムは Spring Framework を使用して開発されていることを意味します。

2. 組織システムのプロジェクトが jar パッケージの形式で直接かつ単独で実行される場合、次の手順に従って判断します。

• jar パッケージを解凍します: jar ファイルの拡張子を .zip に変更し、zip ファイルを解凍します。
• 解凍ディレクトリ内で spring-beans-*.jar 形式の jar ファイル（例: spring-beans-5.3.16.jar）を探します。存在する場合、その業務システムは Spring Framework を使用して開発されていることを意味します。
• spring-beans-*.jar ファイルが存在しない場合は、解凍ディレクトリ内に CachedIntrospectionResuLts.class ファイルが存在するかどうかを探します。存在する場合、その業務システムは Spring Framework を使用して開発されていることを意味します。

(3) 総合的な調査

上記の 2 つのトラブルシューティング手順を完了した後、次の 2 つの条件が同時に満たされる場合、この脆弱性の影響を受けると判断します:

1. JDK のバージョン番号が 9 以上であること;
2. Spring Framework または派生フレームワークを使用していること。

脆弱性の修正ガイド

現在、Spring チームはこの脆弱性を修正し、Spring Framework 5.3.18 に依存する Spring Boot 2.6.6 および 2.5.12 の最新バージョンをリリースしました。

WAF による保護

WAF などのネットワーク保護デバイスでは、デプロイされたサービスの実際のトラフィック状況に応じて、"class."、"Class."、".class."、".Class." などの文字列に対するルールフィルタリングを実装します。ルールフィルタリングの後、業務運用をテストして追加の影響を回避してください。

一時的な修復措置

この脆弱性の一時的な修復は、次の 2 つの手順を同時に実行する必要があります:

1. アプリケーション内で @InitBinder アノテーションをグローバルに検索し、メソッド本体で dataBinder.setDisallowedFields メソッドが呼び出されているかどうかを確認します。このコードスニペットの導入が見つかった場合は、{"class.","Class. to the original blacklist ",".class.", ".Class."} を追加します。（注: このコードスニペットが頻繁に使用されている場合は、すべての場所に追加する必要があります）

2. アプリケーションシステムのプロジェクトパッケージ内に次のグローバルクラスを作成し、このクラスが Spring によってロードされることを確認します（Controller があるパッケージに追加することを推奨します）。クラスを追加した後、プロジェクトを再コンパイルしてパッケージ化し、機能検証のためにテストして、プロジェクトを再公開する必要があります。 import org.springframework.core.annotation.Order;

   root@kitploit:~

    import org.springframework.web.bind.WebDataBinder;
   
    import org.springframework.web.bind.annotation.ControllerAdvice;
   
    import org.springframework.web.bind.annotation.InitBinder;
   
    @ControllerAdvice
   
    @Order(10000)
   
    public class GlobalControllerAdvice{ 
   
         @InitBinder
   
         public void setAllowedFields(webdataBinder dataBinder){
   
         String[]abd=new string[]{"class.*","Class.*","*.class.*","*.Class.*"};
   
         dataBinder.setDisallowedFields(abd);
   
         }
   
    }
   

Spring プロジェクトの Git リポジトリ を見ると、Spring 開発者はこのリモートコード実行脆弱性の修正に取り組んでいるようです。ただし、公式の確認を待つ必要があります。