組み込みのUnboundID LDAPサーバーに存在する重大な脆弱性により、リモートの攻撃者が既知の管理者バインドID(識別子)を使ってインメモリのディレクトリデータにアクセスし、操作できる可能性があることが分かりました。
CVE-2026-59270として追跡されているこの脆弱性は、Spring SecurityのUnboundIdContainerを直接使用するアプリケーション、またはSpring Bootの組み込みLDAP自動設定機能に依存するアプリケーションに影響します。
この脆弱性は2026年8月20日に公表されました。開発環境やステージング環境、さらには本番環境に近い環境において、組み込みのLDAPリスナーが意図せずlocalhostの範囲を超えて外部に露出しているケースで、特に深刻な問題となります。
この問題の根本原因は、Spring Securityが組み込みのUnboundID LDAPサーバーを設定する方法にあります。UnboundIdContainerコンポーネントは、無条件に管理者権限の認証情報を登録すると同時に、LDAPリスナーを利用可能なすべてのネットワークインターフェースにバインドしてしまいます。
その結果、このサービスはlocalhostからの接続に限定されず、外部システムからのLDAP接続を受け入れてしまう可能性があります。攻撃者がリスナーのポートに到達できれば、既知の管理者バインド識別名を使って認証を行い、インメモリのディレクトリに対する特権アクセスを取得できてしまいます。
こうしたアクセスにより、攻撃者はLDAPエントリの読み取り、変更、追加、削除が可能になります。実際にどの程度のセキュリティ上の影響が生じるかは、対象のアプリケーションが組み込みディレクトリをどのように利用しているかによって異なります。
環境によっては、このLDAPサーバーにテスト用のID、ユーザーレコード、グループメンバーシップ、ロール割り当て、組織単位、認証属性などが格納されている場合があります。
これらのレコードが不正に変更されると、アプリケーションの認可判断に支障をきたしたり、テストのワークフローが妨げられたり、機密性の高いID関連情報が漏えいしたりするおそれがあります。
認証・認可ロジックを支える目的でディレクトリが使用されている場合、改ざんによってアプリケーション全体の侵害につながる糸口が生まれる可能性もあります。
CVE-2026-59270のCVSS v3.1ベクターはAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Lです。このベクターは、攻撃がネットワーク経由で行え、攻撃の複雑度が低く、事前の権限もユーザー操作も必要としないことを示しています。
以下のSpring Securityのバージョンが影響を受けます。
セキュリティチームはまず、UnboundIdContainerをインスタンス化しているアプリケーションや、spring.ldap.embedded.*で始まるプロパティを通じて組み込みLDAPを設定しているアプリケーションを特定する必要があります。
その上で、ホストのネットワーク設定、コンテナのサービス定義、クラウドのセキュリティグループ、ロードバランサー、Kubernetesの設定などを通じて、LDAPのポートが外部に露出していないかを確認する必要があります。
Springの発表によれば、ネットワーク制限によって当面の露出リスクを軽減することは可能ですが、脆弱なコンポーネントがリスナーをすべてのインターフェースにバインドし、予測可能な管理者認証の経路を露出させてしまう以上、アップグレードが依然として必須の対策となります。
影響を受けるデプロイ環境をアップグレードするまでの間は、ユーザー、グループ、ロール、認証属性への変更を監視することで、悪用の兆候を早期に把握する助けになります。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを与えましょう。ANY.RUNで調査を強化する
翻訳元: https://cyberpress.org/spring-security-flaw-2/
