2023年3月に、Springは内部で発見した脆弱性の修正版をリリースしました。この脆弱性は、CVE-2023-20860と呼ばれ、mvcRequestMatchersで二重ワイルドカード ** を使用すると、Spring SecurityとSpring MVCの間でパターンの不一致を発生させる可能性があります。これにより、ユーザーによって特定のエンドポイントに不正アクセスされる可能性があります。この脆弱性を持ついくつかのエンドポイントを備えた簡易的な銀行アプリケーションのデモサイトが用意されています。このアクセス制御の脆弱性がもたらす影響を体感してみてください。

Spring MvcRequestMatchers デモサイトへ＞＞

インターネットバンキングシステムのトランザクション検索機能において、SQL Injectionの脆弱性を悪用されるという事件がありました。攻撃者は、SQL Injectionを利用して、データベースに対して、テーブルの削除、他のテーブルからのデータの閲覧、データの挿入といった、あらゆる種類の攻撃操作が行われる可能性があります。このSQL Injectionの脆弱性がもたらす影響を体感してみてください。

SQL Injection デモサイトへ＞＞

CodeStashBinは、架空の世界最大級のコード バージョン管理ホスティング会社です。こちらのアプリケーションには、パスワードの再設定の処理に欠陥があり、パスワードリセット機能に脆弱性が存在します。その脆弱性を悪用して、特権ユーザーのパスワードを変更し、そのアカウントにアクセスすることが可能かもしれません。この問題を調査してみてください。

CodeStashBin デモサイトへ＞＞

Viking Bankは、架空の銀行です。こちらの開発者が、クレジットカードを管理するための管理者権限チェック機能を記述するために、インターネット上の信頼できないソースから、脆弱性が含まれている可能性があるコードをコピーして使用しました。その影響により、本来であれば限度額の変更は、管理者のみが持つ権限であるにもかかわらず、ユーザー自身がクレジットカードの限度額を変更していることに気づきました。このコードには何かしら問題点があると思われます。コードを調査してみてください。

Trojan Source デモサイトへ＞＞

2021年10月4日、Apacheチームは、Apache 2.4.48のPath Traversalとリモートコード実行の脆弱性 (CVE-2021-41773としても知られる)に対処するため、Apacheバージョン 2.4.49をリリースしました。2021年10月7日、さらに2.4.50のホットフィックスの修正が完了していないため、バージョン 2.4.51をリリースしました。この脆弱性は CVE-2021-42013として発表されました。この脆弱性 CVE-2021-42013がどのように悪用されるかを確認してみてください。

Apache Path Traversal デモサイトへ＞＞

CVE-2022-21449は、JavaのPsychic Signaturesという、脆弱性としては個性的な別名がつけられています。イギリスの人気ドラマシリーズ「ドクター・フー」のサイキックペーパーにちなみ、名前がつけられました。Java(バージョン15から18まで)のECDSAアルゴリズムの実装でも似たようなことが起こり、JWTs(JSON Web Tokens)の署名検証に影響を及ぼします。無効な署名でリクエストを送信した場合にも、Javaはそれを有効だと認識してしまいます。この脆弱性の問題を確認してみてください。

Psychic Signatures デモサイトへ＞＞

2021年12月初旬、非常に人気のあるログライブラリLog4jのゼロデイ エクスプロイト(CVE-2021-44228)が発表され、世界中のJavaユーザーに衝撃が走りました。Log4Shellと呼ばれるこのエクスプロイトは、Log4j v2のバージョン2.0-beta9から2.14.1に影響を及ぼし、リモートでコードが実行される可能性があります。このエクスプロイトをデモサイトにてお試しください。

Log4j デモサイトへ＞＞