Spring Cloud Gateway Header Injection Vulnerability CVE-2026-47825

脆弱性概要 CVE番号: CVE-2026-47825 タイトル: 特定の状況下で、Spring Cloud Gateway サーバーが信頼できないプロキシからのヘッダーを転送する問題 説明: 特定の構成シナリオにおいて、Spring Cloud Gateway サーバーは信頼できないプロキシからの および ヘッダー情報を転送します。これはMVCおよびWebFluxのGatewayサーバーに影響しています。 影響範囲 影響を受ける製品およびバージョン: - Spring Cloud Gateway: - 3.1.x - 4.1.x - 4.2.x - 4.3.x - 5.0.x - サポート終了した旧バージョンも影響を受けます 修正方法 緩和策: - 影響を受けるバージョンのユーザーは、対応する修正バージョンへのアップグレードを行う必要があります。 - 具体的な修正バージョンは以下の通りです： - 3.1.x -> 3.1.13 (エンタープライズサポートのみ) - 4.1.x -> 4.1.13 (エンタープライズサポートのみ) - 4.2.x -> 4.2.9 (エンタープライズサポートのみ) - 4.3.x -> 4.3.4.1, 4.3.5 (OSS) - 5.0.x -> 5.0.1.1, 5.0.2 (OSS) 補足説明: - この修正の一環として、Spring Cloud Gateway サーバー WebFlux はデフォルトで無効化されました。有効にする必要がある場合、5.0.x または 4.3.x では を設定してください。4.2.x および 3.1.x では を設定してください。 その他情報 クレジット: 問題は samarthd により発見され、責任を持って報告されました。 参照: NVD リンクが提供され、CVSS v3 カルキュレーターを確認できます。 履歴: - 2026-06-11: 元の脆弱性レポートが公開されました。 - 2026-06-12: 4.1.x の修正バージョンが 4.2.9 から 4.1.13 に更新されました。 POCコードまたはエクスプロイトコード ページにはPOCコードやエクスプロイトコードは含まれていません。

目標達成 すべての支援者に感謝 — 100%達成しました！

Spring Cloud Gateway Header Injection Vulnerability CVE-2026-47825

目標達成すべての支援者に感謝 — 100%達成しました！