CVE-2025-41234 in Spring Framework
要約
〜によって VulDB • 2026年06月16日
説明
Spring Frameworkにおいて、6.0.5以降の6.0.xバージョン、および6.1.xおよび6.2.xバージョンでは、アプリケーションが「Content-Disposition」ヘッダーに非ASCII文字セットを設定し、かつfilename属性がユーザー入力を基に生成されている場合、反射型ファイルダウンロード（RFD）攻撃に対して脆弱です。
具体的には、以下のすべての条件が満たされた場合にアプリケーションは脆弱となります：
* ヘッダーが `org.springframework.http.ContentDisposition` を使用して作成されている。 * filenameが `ContentDisposition.Builder#filename(String, Charset)` を介して設定されている。 * filenameの値がユーザー入力を基に生成されている。 * アプリケーションがユーザー入力をサニタイズしていない。 * 攻撃者がレスポンスのダウンロードコンテンツに悪意のあるコマンドを注入できる（詳細はRFD論文参照）。
以下のいずれかの条件が満たされる場合、アプリケーションは脆弱ではありません：
* アプリケーションが「Content-Disposition」レスポンスヘッダーを設定していない。 * ヘッダーが `org.springframework.http.ContentDisposition` を使用して作成されていない。 * filenameが以下のいずれかのメソッドで設定されている： * `ContentDisposition.Builder#filename(String)`、または * `ContentDisposition.Builder#filename(String, ASCII)` * filenameがユーザー入力を基に生成されていない。 * filenameはユーザー入力を基に生成されているが、アプリケーションによってサニタイズされている。 * 攻撃者がレスポンスのダウンロードコンテンツに悪意のあるコンテンツを注入できない。
影響を受けるSpring製品およびバージョン Spring Framework：
* 6.2.0 - 6.2.7 * 6.1.0 - 6.1.20 * 6.0.5 - 6.0.28 * 古いサポート終了バージョンは影響を受けない
緩和策 影響を受けるバージョンのユーザーは、対応する修正済みバージョンにアップグレードしてください。
影響を受けるバージョン | 修正バージョン | 入手先 --- | --- | --- 6.2.x | 6.2.8 | OSS 6.1.x | 6.1.21 | OSS 6.0.x | 6.0.29 | 商用 https://enterprise.spring.io/
それ以上の緩和策は必要ありません。
VMware Spring Frameworkのバージョン6.0.5から6.2.7における `Content-Disposition` 処理のCWE-113により、リモート攻撃者は `ContentDisposition.Builder#filename(String, Charset)` における非ASCII文字セットを使用したサニタイズされていないユーザー入力を介して、反射型ファイルダウンロード（RFD）攻撃を実行できます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.