CVE-2018-1270（Spring Framework）— 影響版・修正版と自分が該当するかの確認手順

CVE-2018-1270 は Spring Framework の spring-messaging モジュールに関する脆弱性です。調べていて混乱しやすいのが「修正版は 4.3.15 なのか 4.3.16 なのか」という点で、NVD の説明文とベンダーのアドバイザリで記載が食い違っています。本記事では一次情報を突き合わせ、影響版・修正版と、自分の環境が該当するかの確認手順を整理します。

要点

どんな脆弱性か

Spring 公式アドバイザリの記述は次のとおりです（原文）。

Spring Framework, versions 5.0.x prior to 5.0.5 and versions 4.3.x prior to 4.3.16, and older unsupported versions allow applications to expose STOMP over WebSocket endpoints with a simple, in-memory STOMP broker through the spring-messaging module. A malicious user (or attacker) can craft a message to the broker that can lead to a remote code execution attack.

要点を日本語で整理すると、spring-messaging モジュールを通じて STOMP over WebSocket のエンドポイントを公開し、かつ外部ブローカーへのリレーではなくインメモリの簡易ブローカーを使っている構成で、ブローカー宛てに細工されたメッセージを送られるとリモートコード実行に至りうる、というものです。

したがって、Spring Framework を使っていること自体が即座に該当を意味するわけではありません。上の構成条件を満たしているかどうかが分かれ目になります。アドバイザリは参考資料として、STOMP over WebSocket を有効化する設定に関する Spring リファレンスと、WebSocket に対する Spring Security のリファレンスの2件を挙げています（URLは記事末尾）。

修正版は 4.3.15 ではなく 4.3.16

この CVE で最も間違えやすいのがここです。NVD の説明文には現在も「versions 4.3 prior to 4.3.15」と書かれていますが、これは初出時の記載のままです。Spring 公式アドバイザリの History には次のように記録されています。

• 2018-04-05: Initial vulnerability report published.
• 2018-04-10: Replaced upgrade version 4.3.15 with 4.3.16 due to CVE-2018-1275

つまり、当初案内された 4.3.15 は別の脆弱性（CVE-2018-1275）の関係で撤回され、4.3.16 に差し替えられています。NVD 側も、説明文は古いままですがCPE の適用範囲は「4.3.16 未満が脆弱」となっており、ベンダーの記載と一致します。

4.3 系を使っている場合、4.3.15 に上げても対応完了とはみなせません。4.3.16 以上へ上げてください。

自分が該当するかを確認する手順

いずれも自分が管理する環境に対して実行する確認だけです。

1. 依存している Spring Framework の版を調べる

アプリケーションが実際に解決している版を、ビルドツールの依存ツリーで確認します。親 POM や BOM で管理していると、宣言した版と解決される版がずれることがあるため、宣言ではなく解決結果を見るのが確実です。

# Maven: 依存ツリーから spring-messaging と spring-core の版を確認
mvn dependency:tree -Dincludes=org.springframework

# Gradle: 実行時クラスパスの解決結果を確認
./gradlew dependencies --configuration runtimeClasspath

配布物しか手元にない場合は、同梱されている JAR のファイル名（spring-messaging-x.y.z.jar）や、JAR 内の META-INF/MANIFEST.MF の Implementation-Version でも版を確認できます。

2. 該当する機能を使っているかを確認する

版が範囲内でも、アドバイザリが挙げる構成を使っていなければ露出しません。次の3点を設定とコードから確認します。

• spring-messaging がクラスパスに載っているか（依存ツリーで確認）。
• STOMP over WebSocket のエンドポイントを公開しているか。 公開していない場合、この経路は存在しません。
• そのエンドポイントがインメモリの簡易ブローカーを使っているか、それとも外部のメッセージブローカーへリレーする構成か。アドバイザリが対象としているのは前者です。

3. 認証・認可の有無を確認する

アドバイザリには次の記載があります（原文）。

Note that the use of authentication and authorization for messages, both of which are provided by Spring Security, limits exposure to this vulnerability to authorized users.

メッセージに対する認証と認可（いずれも Spring Security が提供）を使っている場合、露出は認可済みユーザーに限定されるとされています。これは影響範囲を狭める要素ではありますが、アドバイザリはこれを回避策としては提示していません。次項のとおり、対応は修正版への更新です。

ベンダーが示す対応

アドバイザリの Mitigation は簡潔です（原文）。

• Users of affected versions should upgrade to the corresponding fixed version.
• There are no other mitigation steps necessary.

すなわち5.0.x 系は 5.0.5 へ、4.3.x 系は 4.3.16 へ更新するのが対応であり、それ以外の緩和手順は必要ない、とされています。なお、いずれの修正版もサポート終了から長い年月が経過した系列です。現在も 4.3.x / 5.0.x を使っている場合は、この CVE の対応だけでなく、サポートされている系列への移行そのものを検討する場面といえます。

「悪用が確認されている」かどうか

2026年8月4日に CISA の Known Exploited Vulnerabilities カタログ（カタログ版 2026.08.03、1,657件）を直接検索したところ、CVE-2018-1270 は収載されていませんでした。NVD のレコードにも KEV 関連のフィールドはありません。

なお、NVD の参照リンクには Exploit Database のエントリが「Broken Link / Third Party Advisory / VDB Entry」として含まれています。公開された実証コードが過去に存在したことは分かりますが、それは KEV 収載とは別の話です。ベンダーのアドバイザリ自体は悪用に関する主張をしていません。

下流製品にも注意

NVD は、Spring Framework 本体のほかに再配布している製品も脆弱として列挙しています。確認時点では Red Hat Fuse、Debian GNU/Linux 9、および Oracle の多数の製品（Communications 系、Retail 系、Primavera、GoldenGate、Application Testing Suite など）が含まれていました。自社で直接 Spring を使っていなくても、製品に同梱されている形で該当することがあります。ベンダー製品については、そのベンダーのアドバイザリを確認してください。