[2022/04/15更新]Spring Framework RCEの脆弱性に関する開発元の見解について (CVE-2022-22965)

[2022/04/15更新] (バージョンアップのためのご参考資料リンクを追記しました)

開発元よりBrava製品のうち Brava Enterpriseが本脆弱性の影響を受けることが発表されました。

・Brava Enterprise・・影響あり (ただし、バージョン7.xについては影響なしとなります)

・Blazon Enterprise・・影響なし

[解決方法]

開発元はできるだけ早く以下のガイドラインに沿うことを推奨しています。

ご利用のBrava Enterpriseのバージョンにより対応方法が異なります。ご利用のバージョンにあわせてご対応ください。

[Brava Enterpriseバージョン 16.0～16.2]

1. Java 8(JDK)にアップグレードします

[Brava Enterpriseバージョン16.2～16 EP7(16.6.1) - Spring Framework 4.xまたは5.1が使用されている。Tomcat 7～9が使用されている。]

1. 現在のTomcatバージョンが7～8.5のとき、8.5.78にアップグレードします

2. 現在のTomcatバージョンが9のとき、9.0.62にアップグレードします

[Brava Enterprise16 EP7 Update 2(16.6.2)以降 - Spring Framework 5.2 または 5.3が使用されている。]

1. Brava Enterpriseのインストールディレクトリーと使用しているWebサーバー(例: Tomcat)からからSpring Frameworkファイル (例: spring-*.jar) を見つけます：

a. <Web Server>\webapps\BravaLicense\WEB-INF\lib

b. <Web Server>\webapps\BravaServer\WEB-INF\lib

c. .\Brava! Enterprise\Brava! License\LicenseWar\WEB-INF\lib

d. .\Brava! Enterprise\ServerWar\WEB-INF\lib

2. 製品とWebサーバーに関連するサービスを終了します

3. JARファイルを更新します

a. Spring Framework 5.2のファイルが見つかったら Spring Framework 5.2.20を使用します

b. Spring Framework 5.3のファイルが見つかったら Spring Framework 5.3.18かそれ以上を使用します

--2022/04/15追記ここから

＜ご対応手順について＞

上記は開発元が開発元が公開している情報には具体的なアップグレード手順の指定は無く、一般的なTomcatアップグレードの方法でアップグレードする形でよいとの連絡を受けております。

実施手順として開発元の公式なものがございませんが、弊社にて検証を行った際のスクリーンショットなどをまとめた参考資料を作成いたしました。

以下のリンクに格納しておりますのでご参考にいただければと存じます。

貴社環境に合わせて、手順の変更やその他必要な事項がございましたら別途ご実施ください。

16.0向け Java 8 Upgrade

16.3向け Tomcat Upgrade

16.6向け Tomcat Upgrade

16 EP7 Update 2(16.6.2)以降向け jarファイルアップデート

-- 2022/04/15 追記ここまで

[2022/04/06更新]

開発元では2022年3月29日に開示された最近のSpring4Shellの脆弱性を認識しており、影響を調査・評価中であると発表いたしております。

現時点でBrava製品への影響は発表されていませんが今後開発元より発表がありましたら本ページにて速やかにご案内いたします。