Spring Cloud 2025.1.3（Oakwood）が多数のセキュリティ修正を伴ってリリース

Spring Cloudチームは、Spring Boot 4.0.8をベースにしたコードネームOakwoodの2025.1.3リリーストレインをリリースしました。これはメンテナンスリリースですが、パッチ番号に惑わされないでください。ほぼすべての主要モジュールに影響するセキュリティ修正が満載です。

セキュリティ修正が中心

Spring Cloud Configは、4つのCVEに対処しており、最も注目されています。SVN使用時のTOCTOU攻撃、webhookリクエストの検証に失敗するモニターエンドポイント、ネイティブ環境リポジトリの露出、モニターでのサービス拒否です。Config ServerをSVNで実行している場合やモニターエンドポイントを公開している場合は、早急にアップグレードすることをお勧めします。

Spring Cloud Functionも、任意のファイル読み取りとSSRF、不正確なURIセキュリティ判定、不適切なHTTPヘッダーフィルタリング、構成ルックアップのポイズニング、AWSおよびAzureバインディングでの機密データロギングなど、いくつかの修正を受けています。Gatewayは、gRPCでのSSRFとネイティブファイルアクセスの問題を修正し、Streamは、信頼できない型のデシリアライゼーションやコンテンツタイプの不適切なキャッシュなど、いくつかの問題を修正しています。

Commonsは、書き込み可能なenvアクチュエーターエンドポイントの許可リストに関連するCVE-2026-59284に対処し、Bouncycastleを新しいBOMとともに1.85.2にアップグレードします。

機能改善

セキュリティ以外にも、いくつかの品質向上の変更があります。Configは、AWS S3バケットでワイルドカードを使用したGitスタイルのsearchPathsをサポートするようになりました。Gatewayは、MVCリトライバックオフサポートを追加します。Commonsは、構成プロパティのリセットに関するいくつかの修正を受け取ります。ライブラリ型の再帰的リセットの排除、デフォルトコンストラクタのないBeanのスキップ、再バインド時のBeanの自動配線などです。

モジュールバージョン

ほとんどのモジュールは5.0.3で、Configは5.0.5、Functionは5.0.4、スタータービルドは2025.1.3です。完全なリストには、Build、Bus、Circuitbreaker、Commons、Consul、Kubernetes、Openfeign、Streamが含まれます。

アップグレードパス

いつものように、Maven CentralからBOMを取得できます。GitHubのリリースノートに詳細が記載されていますが、要約すると、2025.1.x系を使用している場合は、特に修正されたCVEにさらされている場合は、このアップグレードをお勧めします。