30秒で判断
- 対応すべき人: Spring Data Commons 1.13.10 未満 / 2.0.5 未満、または Spring Data REST を利用しているアプリの運用者
- 対応不要な人: Spring Data Commons を使用していない、または 1.13.10 / 2.0.5 以降を使用中の人
- 確認コマンド:
mvn dependency:tree | grep spring-data-commons/./gradlew dependencies | grep spring-data-commons
概要
CVE-2018-1273 は、Spring Data Commons のプロパティバインダに起因するリモートコード実行の脆弱性です。特殊要素の不適切な無害化（CWE-94）により、認証されていないリモートの攻撃者が、Spring Data REST がバックエンドとなる HTTP リソースや、Spring Data のプロジェクションベースのリクエストペイロードバインディングに対して細工したリクエストパラメータを送ることで、リモートコード実行に至り得ます。
2018年に公開された既知の脆弱性ですが、NVD 側の情報が更新されたため再掲します。旧バージョンが依存ツリーに残存しているケースに注意してください。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSS スコア | 9.8（Critical） |
| 攻撃元区分 (AV) | ネットワーク |
| 攻撃条件の複雑さ (AC) | 低 |
| 必要な権限 (PR) | 不要 |
| ユーザー関与 (UI) | 不要 |
| CWE | CWE-94（コードインジェクション） |
影響を受けるソフトウェア
| 製品 | ベンダー | 影響バージョン |
|---|---|---|
| Spring Data Commons | VMware (Pivotal) | 1.13 系 < 1.13.10 |
| Spring Data Commons | VMware (Pivotal) | 2.0 系 < 2.0.5 |
| Spring Data Commons | VMware (Pivotal) | サポート終了済みの旧バージョン |
修正バージョンと回避策
Spring Data Commons 1.13.10 / 2.0.5 以降で修正されています。該当バージョンへのアップグレードを推奨します。フレームワーク経由で間接的に依存しているケースもあるため、依存ツリーを確認のうえ更新してください。
関連リンク
データソース: NVD (NIST), GitHub Advisory Database AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。