Spring Securityに組み込まれたUnboundID LDAPサーバーに、重大な脆弱性が確認されました。
ゼロデイ脆弱性アラート
この脆弱性を悪用すると、リモート攻撃者が広く知られた管理者用bind DNを使って認証を突破し、アプリケーションのインメモリLDAPディレクトリに保存されたデータを読み取ったり改ざんしたりできる可能性があります。
この問題はCVE-2026-59270として追跡されており、2026年8月20日に公表されました。Spring SecurityのUnboundIdContainerを直接利用しているアプリケーション、またはSpring Bootの組み込みLDAP自動構成機能を通じてこれにアクセスしているアプリケーションが影響を受けます。
Spring Securityの重大なLDAP脆弱性
この脆弱性のある機能は、もともと組み込みLDAP用途向けに設計されたものです。しかし、そのセキュリティ上安全でないデフォルト設定により、リスナーが攻撃者の制御下にあるネットワークからアクセス可能な状態になっていると、機密性の高いディレクトリの内容が漏えいする恐れがあります。
この脆弱性は、Spring Securityに組み込まれたUnboundID LDAPサーバーにおける2つの特定の条件に起因します。第一に、UnboundIdContainerが無条件に管理者用の認証情報を登録してしまう点、第二に、LDAPリスナーが利用可能なすべてのネットワークインターフェースにバインドされてしまう点です。
その結果、LDAPサービスのポートに接続できる攻撃者であれば、この予測可能な管理者用bind DNを使って認証を通過できてしまいます。
認証に成功すると、攻撃者は管理者レベルのアクセス権限をインメモリディレクトリに対して取得し、LDAPエントリの列挙、ディレクトリデータの取得、レコードの改ざんが可能になります。
組み込みディレクトリにどのようなデータが格納され、アプリケーションでどう使われているかによっては、ユーザーの識別情報、グループ、ロール、テスト用認証情報、認可属性、あるいはアプリケーション固有の設定データが漏えいする可能性があります。
この脆弱性が悪用されるのは、アプリケーションがUnboundIdContainerを使用するよう設定されている場合です。これは明示的な設定によるほか、spring.ldap.embedded.*で始まるSpring Bootのプロパティを使用している場合も含まれます。
さらに、攻撃者がLDAPリスナーにアクセスできることも条件となります。ポートがローカルホストに制限されている環境や、ネットワークファイアウォールおよびポリシーによってブロックされている環境は、リモートからの悪用を受けません。
示されたCVSS v3.1ベクター(AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:L)は、攻撃条件が単純で認証を必要としないネットワーク経由の攻撃であり、機密性と完全性に大きな影響を及ぼすことを示しています。
可用性への影響は低いと評価されているものの、ディレクトリへの不正な改ざんによって認証処理が中断されたり、アプリケーションのテストデータが破損したり、LDAPエントリが認可の判断に影響する場合には権限操作が可能になったりする恐れがあります。
この脆弱性の影響を受けるSpring Securityのバージョンは、7.1.0、7.0.0から7.0.6まで、6.5.0から6.5.11まで、6.4.0から6.4.18まで、5.8.0から5.8.27まで、5.7.0から5.7.25までとなっています。
各組織は、該当する場合はSpring Security 7.1.1または7.0.7にアップグレードする必要があります。商用サポートを契約している顧客は、6.5.12、6.4.19、5.8.28、5.7.26を含む旧ブランチ向けの修正済みメンテナンスリリースも入手できます。
セキュリティコンサルティングサービス
Springによると、アップグレード後に追加の緩和策を講じる必要はないとのことです。とはいえ、パッチが適用されるまでの間は、組織が公開されているLDAPポートを直ちに監査し、ホストファイアウォールとネットワークセグメンテーションを用いて組み込みLDAPリスナーへのアクセスを制限することが推奨されます。
調査の遅れによるインシデントを防止しましょう。15,000のSOCから得られる脅威インテリジェンスでTier 1を強化: TI LookupをSOCに統合する
翻訳元: https://gbhackers.com/critical-spring-security-ldap-flaw/
