フィードバックを送信
Security Alerts
ご覧のページは、お客様の利便性のために一部機械翻訳されています。また、ドキュメントは頻繁に更新が加えられており、翻訳は未完成の部分が含まれることをご了承ください。最新情報は都度公開されておりますため、必ず英語版をご参照ください。翻訳に問題がある場合は、 こちら までご連絡ください。

Spring4ShellおよびSpring Cloudのセキュリティに関する勧告

公開日：2022年3月31日 更新日：2022年4月5日（影響を受けるバージョンと対策の詳細を明確にするために編集）

脆弱性の概要

2022年3月31日、Spring Frameworkバージョン5.3.17以前のバージョンで、重大な脆弱性 CVE-2022-22963 および CVE-2022-22965 が公開されました。 Springは、Javaベースのアプリケーションで頻繁に使用されるライブラリを開発および保守するプロジェクトです。

何が問題なのですか？

上記で概説した脆弱性は、HTTPリクエストを介してリモートコード実行を引き起こすために悪用される可能性があります。 Liferayは、すべてのお客様に対し、これらの問題に対処するための措置を直ちに講じることを推奨します。

Liferayへの影響は？

Liferay DXPとLiferay Portalには上記のライブラリが含まれていますが、これらの脆弱性を悪用する方法は知られていません。 Liferayを使用している顧客で、カスタマイズを導入していない場合は、この脆弱性による影響を受ける既知の方法はありません。 ただし、Spring MVC、Spring Webflux、またはSpring Cloudフレームワークを使用してカスタマイズを作成した顧客は、コードが外部に公開されていないことを確認するために、コードをレビューする必要があります。

以下に、影響を受けるLiferay DXPおよびPortalのバージョンと、修正のために利用可能なパッチをまとめた表を示します。

影響を受けるLiferayのバージョンSpring Web MVC Framework 影響を受けるバージョンLiferayパッチ適用版
DXP 7.45.2.105.2.20（U19の試合予定）
DXP 7.35.2.102020年5月2日
DXP 7.0、7.1、7.24.3.304.3.30.LIFERAY-PATCHED-1
Portal 6.1、6.23.0.73.0.7.LIFERAY.PATCHED-1

リスクへの曝露状況を確認し、軽減するにはどうすればよいですか？

カスタムコードを含むLiferayのインストールについては、以下の発表を参照してください。

Liferayは、対象となるSpringフレームワークを利用するカスタムプラグインや開発中の拡張機能を使用しているすべてのお客様に対し、現在使用しているバージョンを確認し、必要に応じてSpringライブラリをパッチ適用済みのバージョンにアップグレードすることを推奨します。

この問題に対する正式な修正は予定されていますか？

Spring は、この脆弱性に対処する Spring Framework バージョン 5.3.18 および 5.2.20 をリリースしました。 脆弱性が露呈していると判断されるプラグインはすべて、前述のSpringライブラリのパッチ適用済みバージョンを使用するように更新する必要があります。

パッチ適用済みまたは更新済みのSpring Web MVCライブラリの緊急ホットフィックスは、ご要望に応じて現在入手可能です。 サポートチケット こちらからホットフィックスをリクエストできます。

現在サービス提供中の未リリースバージョンのLiferay DXPまたはLiferay Portalについては、LiferayはSpring Web MVCライブラリにパッチを適用または更新し、今後の修正パック/アップデートでリリースする予定です。

もし私がLiferayのSaaS顧客だったらどうなりますか？

Liferay SaaSをご利用のお客様は、影響を受けるバージョンにおける脆弱性を軽減するために、上記の手順を適用することをお勧めします。

ご質問はありますか？

詳細については、Liferayサポートまたは担当のカスタマーサクセスマネージャーにお問い合わせください。