Spring Security JdbcOneTimeTokenService が 1 回限りトークンを使用して複数のセッションを認証できるようにする

CVE-2026-22751 は、Spring Security を使用する Spring アプリケーションに影響を与え、特に JdbcOneTimeTokenService を介して One-Time Token ログインを設定している場合に影響します。これは、Time-of-check Time-of-use (TOCTOU) レースコンディションの脆弱性です。攻撃者は、トークンの検証と実際の使用との間の短い時間窓を利用する可能性があります。攻撃者がこの 2 つのポイントの間にデータベースを変更できる場合、不正アクセスを取得する可能性があります。影響を受けるバージョンは、Spring Security: 6.4.0 ～ 6.4.15、6.5.0 ～ 6.5.9、7.0.0 ～ 7.0.4 です。CVSS による深刻度は 4.8 で、中程度のリスクを示しています。

Organizations utilizing Spring Security with JdbcOneTimeTokenService for One-Time Token login are at risk. This includes applications with custom authentication flows or those relying on Spring Security's built-in One-Time Token functionality. Specifically, those using Spring Boot applications with default configurations may be vulnerable if they haven't explicitly upgraded.

• java / server:

# Check Spring Security version
java -jar your_application.jar | grep 'Spring Security' 

• java / server:

# Examine application logs for authentication failures or unusual token activity
grep -i 'one-time token' /path/to/application.log

• java / supply-chain:

# Check for vulnerable dependencies using Maven or Gradle
# Example using Maven: mvn dependency:tree | grep 'spring-security' 

1. 2026-04-21Disclosure

   disclosure

1. 予約済み2026-01-09
2. 公開日2026-04-21
3. EPSS 更新日2026-04-29

最も効果的な解決策は、Spring Security をバージョン 6.4.16 以降、6.5.10 以降、または 7.0.5 以降にアップグレードすることです。これらのバージョンには、TOCTOU レースコンディションを軽減するための修正が含まれています。直ちにアップグレードできない場合は、One-Time トークンが保存されているデータベースへのアクセスを制限したり、より厳格なアクセス制御を実装したり、アプリケーションを疑わしいアクティビティに対して監視したりするなど、一時的な軽減策を検討してください。各アプリケーションの特定の危険性を評価し、最も適切なセキュリティ対策を適用することが重要です。