Spring Framework パス・トラバーサル (Path Traversal) の脆弱性

この脆弱性は、攻撃者がサーバー上の機密情報を含むファイルを読み取ることを可能にします。例えば、設定ファイル、ログファイル、ソースコードなどが対象となる可能性があります。攻撃者は、この脆弱性を利用して、サーバーの他の部分へのアクセスを試みたり、さらなる攻撃を実行するための足がかりにしたりする可能性があります。特に、静的リソースとして機密性の高いファイルが公開されている場合、攻撃の影響は甚大になる可能性があります。この脆弱性は、Spring Frameworkの他のパス・トラバーサル脆弱性と類似した攻撃パターンが想定されます。

Organizations deploying Spring Boot applications that serve static resources using WebMvc.fn or WebFlux.fn are at risk, particularly those running versions of Spring Webflux prior to 6.1.14. Shared hosting environments where multiple applications share the same server and file system are especially vulnerable, as a compromise of one application could potentially expose files belonging to others.

• java / server:

find / -name "spring-webflux*.jar" -exec grep -i "WebMvc.fn" {} \;

• generic web:

curl -I 'http://your-server/../../../../etc/passwd' # Attempt path traversal

1. 2024-12-19Disclosure

   disclosure

1. 予約済み2024-06-19
2. 公開日2024-12-19
3. 更新日2025-05-28
4. EPSS 更新日2026-04-02

まず、Spring Webfluxをバージョン6.1.14以上にアップデートすることを強く推奨します。アップデートがすぐに利用できない場合は、静的リソースの公開を一時的に停止するか、アクセス制御を強化して、攻撃者が不正なファイルにアクセスできないようにする必要があります。Web Application Firewall (WAF) を使用して、パス・トラバーサル攻撃を検出し、ブロックすることも有効です。また、アクセス権限を最小限に抑え、アプリケーションがアクセスできるファイルへのアクセスを制限することも重要です。アップデート後、ファイルシステムへのアクセス権限を再確認し、不要なアクセス権限を削除してください。