問題
- Spring4Shellの脆弱性に対応するため、Hotfixインストール後のマニフェストファイルには、パッチが適用されたバージョンのspring-beans.jarが含まれているはずですが、spring-webmvc.jarはこの中に含まれているのか。
Environment
- Liferay DXP 7.2
解決策
- DXP 7.2、7.1、7.0用のLiferayパッチでパッチされるのは、 spring-beans.jar だけです。
-
この脆弱性に対処するため、Springは5.3.xおよび5.2.xライブラリの新バージョンをリリースしました。 DXP 7.4および7.3は5.2.xライブラリを使用しているため、すべてのjarを最新バージョンに更新して脆弱性を防止し、さまざまなバージョンのSpring jarを使用した場合に発生し得る問題を最小限に抑えました。
-
一方、DXP 7.2以前は、Spring 4.3.xまたはSpring 3.0.xを使用します。 これらのバージョンには、脆弱性を緩和するためのパッチが適用されています。
-
以下は、Springが書いてSpringリポジトリにコミットした、この脆弱性を緩和するためのコード変更。 今回のコード更新で変更されるのは、spring-beans.jarの1つのファイルのみです。 その結果、バージョン4.3.xと3.0.xのパッチは、1つのSpring jar: spring-bean.jarを変更するだけです。 これらの変更に対応するため、他のLiferayのファイルも修正されました。
追加情報
- [LPS-150754] springを5.2.20にアップデートする
- {liferay_home}Spring4Shellの脆弱性に対するHotfixの確認： /tomcat/webapps/ROOT/WEB-INF/lib/spring-beans.jar を開き、そのマニフェストファイルにパッチが適用されたバージョンがあるはずです。