| Title | Spring Security と Spring Framework に認証回避の脆弱性 |
|---|---|
| Summary | Pivotal Software, Inc. が提供する Spring Security と Spring Framework には、認証回避の脆弱性が存在します。 この脆弱性情報は、情報セキュリティ早期警戒パートナーシップに基づき下記の方が IPA に報告し、JPCERT/CC が開発者との調整を行いました。 報告者: Macchinettaフレームワーク開発チーム：NTTコムウェア、NTTデータ、NTT |
| Possible impacts | 遠隔の第三者によって認証機能が回避され、結果として情報が漏えいする可能性があります。 |
| Solution | [アップデートする] 開発者が提供する情報をもとに最新版へアップデートしてください。 |
| Publication Date | Feb. 2, 2018, midnight |
| Registration Date | Feb. 2, 2018, 12:01 p.m. |
| Last Update | June 14, 2018, 1:47 p.m. |
| CVSS3.0 : 警告 | |
| Score | 5.3 |
|---|---|
| Vector | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
| CVSS2.0 : 警告 | |
| Score | 5 |
|---|---|
| Vector | AV:N/AC:L/Au:N/C:P/I:N/A:N |
| Pivotal Software, Inc. |
| Spring Framework 4.3.0 から 4.3.13 まで |
| Spring Framework 5.0.0 から 5.0.2 まで |
| Spring Security 4.1.0 から 4.1.4 まで |
| Spring Security 4.2.0 から 4.2.3 まで |
| Spring Security 5.0.0 |
| No | Changed Details | Date of change |
|---|---|---|
| 3 | [2018年06月14日] 参考情報：National Vulnerability Database (NVD) (CVE-2018-1199) を追加 |
June 14, 2018, 10:59 a.m. |
| 2 | [2018年04月18日] ベンダ情報：富士通 (Interstage Business Application Server: Spring Securityに認証回避の脆弱性（CVE-2018-1199）(2018年4月17日)) を追加 |
April 18, 2018, 11:10 a.m. |
| 1 | [2018年03月27日] ベンダ情報：日本電気 (NV18-004) を追加 |
March 27, 2018, 10:32 a.m. |
| 0 | [2018年02月02日] 掲載 [2018年02月08日] ベンダ情報：Pivotal Software, Inc. の情報を更新 概要：内容を更新 共通脆弱性識別子(CVE)：CVE-ID を更新 |
Feb. 17, 2018, 10:37 a.m. |
| Summary | Spring Security (Spring Security 4.1.x before 4.1.5, 4.2.x before 4.2.4, and 5.0.x before 5.0.1; and Spring Framework 4.3.x before 4.3.14 and 5.0.x before 5.0.3) does not consider URL path parameters when processing security constraints. By adding a URL path parameter with special encodings, an attacker may be able to bypass a security constraint. The root cause of this issue is a lack of clarity regarding the handling of path parameters in the Servlet Specification. Some Servlet containers include path parameters in the value returned for getPathInfo() and some do not. Spring Security uses the value returned by getPathInfo() as part of the process of mapping requests to security constraints. In this particular attack, different character encodings used in path parameters allows secured Spring MVC static resource URLs to be bypassed. |
|---|---|
| Publication Date | March 17, 2018, 5:29 a.m. |
| Registration Date | March 1, 2021, 6:48 p.m. |
| Last Update | Nov. 21, 2024, 12:59 p.m. |
| Configuration1 | or higher | or less | more than | less than | |
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 5.0.0 | 5.0.3 | |||
| cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:* | 4.1.0 | 4.1.5 | |||
| cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:* | 4.2.0 | 4.2.4 | |||
| cpe:2.3:a:vmware:spring_security:*:*:*:*:*:*:*:* | 5.0.0 | 5.0.1 | |||
| cpe:2.3:a:vmware:spring_framework:*:*:*:*:*:*:*:* | 4.3.0 | 4.3.14 | |||
| Configuration2 | or higher | or less | more than | less than | |
| cpe:2.3:a:redhat:fuse:1.0:*:*:*:*:*:*:* | |||||
| Configuration3 | or higher | or less | more than | less than | |
| cpe:2.3:a:oracle:retail_xstore_point_of_service:7.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:oracle:rapid_planning:12.1:*:*:*:*:*:*:* | |||||
| cpe:2.3:a:oracle:rapid_planning:12.2:*:*:*:*:*:*:* | |||||