Spring Data JPA Example matcherによる追加情報の漏洩

この脆弱性は、攻撃者が悪意のあるExampleMatcher を作成することで、データベースから意図しないデータを取得することを可能にします。これにより、機密情報漏洩や、不正なデータ操作につながる可能性があります。特に、ExampleMatcher を使用して検索機能を実装しているアプリケーションにおいて、攻撃者は検索結果を操作し、機密情報にアクセスしたり、不正な操作を実行したりする可能性があります。この脆弱性は、Spring Data JPA を利用するエンタープライズアプリケーションや、Web アプリケーションに深刻な影響を与える可能性があります。

Applications utilizing Spring Data JPA versions 1.11 through 2.1.8.RELEASE, particularly those employing ExampleMatcher with STARTING, ENDING, or CONTAINING string matchers, are at risk. This includes web applications, microservices, and backend systems that rely on Spring Data JPA for data access.

• java / server:

# Check Spring Data JPA version
java -jar your_application.jar | grep 'Spring Data JPA'

• java / server:

# Inspect application logs for unusually large query results or unexpected data retrieval.
# Look for patterns related to ExampleMatcher usage.

1. 2019-06-03Disclosure

   disclosure

1. 予約済み2019-01-03
2. 公開日2019-06-03
3. 更新日2024-09-17
4. EPSS 更新日2026-04-02

この脆弱性への対応策として、Spring Data JPA を 2.1.8.RELEASE 以降のバージョンにアップデートすることを推奨します。アップデートが困難な場合は、ExampleMatcher の使用を制限し、入力値の検証を強化することで、リスクを軽減できます。また、WAF (Web Application Firewall) を導入し、悪意のあるExampleMatcher の入力をブロックすることも有効です。アップデート後、アプリケーションの動作確認を行い、意図しない結果が返却されないことを確認してください。