1. ホーム
  2. サポート
アーティクル - CS366731

春の脆弱性（CVE-2022-22963、CVE-2022-22950、CVE-2022-22965）– Windchill RV＆S（以前のIntegrity Lifecycle Manager）への影響

修正日: 19-Apr-2022   


注記：ここに記載されている情報は、お客様の利便性向上のため機械翻訳ソフトを使用しています。PTCは、ここに記載されている情報の翻訳の正確性について、一切の責任を負いませんので、ご了承ください。英語の原文を参照するには、こちら。この機械翻訳に関する詳細は、こちら。
お知らせいただき、ありがとうございます。この機械翻訳をレビューします。

適用対象

  • Windchill RV&S (formerly Integrity Lifecycle Manager) 12.3.1.0 to 13.0

説明

  • Springについては、ゼロデイクリティカルなRCE（リモートコード実行）など、複数の脆弱性が報告されています。
  • CVE-2022-22965 （Spring4Shell）
    • CVSSスコア（ブラックダック）：9.8（クリティカル）
    • 説明：JDK9以降で実行されているSpringMVCまたはSpringWebFluxアプリケーションは、データバインディングを介したリモートコード実行（RCE）に対して脆弱である可能性があります。特定のエクスプロイトでは、アプリケーションをWARデプロイメントとしてTomcatで実行する必要があります。アプリケーションがSpringBoot実行可能jar、つまりデフォルトとしてデプロイされている場合、エクスプロイトに対して脆弱ではありません。ただし、脆弱性の性質はより一般的であり、それを悪用する他の方法がある可能性があります。
    • 緩和策：SpringFramework5.3.18への更新
    • 適用性：Winchill RV＆S13.0の解決策を参照してください
  • CVE-2022-22963
    • CVSSスコア（VMware）= 5.4
    • 説明：Spring Cloud Functionバージョン3.1.6、3.2.2、およびそれ以前のサポートされていないバージョンでは、ルーティング機能を使用する場合、ユーザーは、ローカルリソースへのアクセスをもたらす可能性のあるルーティング式として特別に細工されたSpELを提供できます。
    • 緩和策：影響を受けるバージョンのユーザーは、3.1.7、3.2.3にアップグレードする必要があります。他の手順は必要ありません。
    • 適用性：WRV＆Sには適用されません。影響なし。
  • CVE-2022-22950
    • CVSSスコア（VMware）= 5.4
    • 説明：Spring Frameworkバージョン5.3.0〜5.3.16およびそれ以前のサポートされていないバージョンでは、サービス拒否状態を引き起こす可能性のある特別に細工されたSpEL式をユーザーが提供することができます。
    • 緩和策：影響を受けるバージョンのユーザーは、5.3.17以降にアップグレードする必要があります。他の手順は必要ありません。
    • 適用性：解決策を参照してください
最新バージョンはこちらを参照ください https://www.ptc.com/ja/support/article/CS366731