NHN Cloud Meetup 編集部
NHN Cloudの技術ナレッジやお得なイベント情報を発信していきます
Spring 3.2.3から3.2.14にアップグレード（スプリングXML入力によるサービス拒否の脆弱性に対応）
2015.11.30
884
SPRING 3.2.xバージョンを使用している場合は、3.2.14にアップグレードする必要がありそうです。
3.2.3と3.2.14の間には、バグ/セキュリティパッチ以外に大きな修正事項はありませんでした。
各バージョンの配布告知のみ要約しました。全体の変更点は、こちらをご確認ください。
注意する点
＃同一springモジュールが異なるバージョンで重複して使用される問題
pom.xmlをDependency Hierarchyモードで見ると、同一の内容がそれぞれ異なるバージョンに重複して含まれています。
ほとんどがLucyにdependencyがあるspringモジュールです。
Lucyなどで使用する別途宣言されていないモジュールがあれば、追加する必要があるでしょう。
Dependency Hierarchyモードでspringで検索して表示されるモジュールのバージョンを確認しながら、入念に除外するものは除き、追加するものは追加して、springの各モジュールがすべて3.2.14を使用するように作成しましょう。
変更点の要約
- 最大の変化は、操作したXMLを送信するとSpringが解析したときにout of memoryエラーが発生する問題を解決したことです。
– 以前の配布内容に記載されていますが、3.2.xバージョンは、XMLの問題を継続的に抱えていたようです。 - Spring 3.2.xバージョンは2016/12/31まで保守されます。
– 以降は4.xバージョンのみ維持保守されます。
– 参考までに、Spring 4は2019年まで保守予定、2016年4半期にバージョン5をリリースする予定です。Spring 5はJDK8以上のみに対応し、JDK7以下はSpring 4で引き続きサポートするそうです。
- 特別な変更はありませんでした。
- Spring 4.2のバージョンで新たに追加される機能について要約を中心にお知らせしています。
- MVC resourceをSpringがハンドリングするときに発生するセキュリティ関連事項にアップデートがあったようです。
– 特にResourceHttpRequestHandlerを使用する場合は、アップデートが必要だそうです。
＃Spring 3.2.11（2014/9/4配布）
- リリースノートがありませんでした。
＃Spring 3.2.10（2014/7/16配布）
- リリースノートがありませんでした。
- すべてのfeatureを最終反映しました。以降、追加的なfeatureはないとのことです。
– 重要なバグの修正プログラムはEOLまで公式サポートします。 - JDK 8のfeatureを部分的にサポートするそうです。
- XXE攻撃（XML解析プロセスを利用した攻撃）に対応するパッチが反映されました。
- 重要なバグが修正されたそうです。
- Spring 3.2.xの開発がメンテナンスモードに切り替わりました。
- Spring 3.1.xのサポートが正式に終了しました。
- Javaの設定とSpring Boot関連のイシューがfixされました。
- 50余りのバグが修正されました。
- Spring OXMのセキュリティパッチと一部のバグが修正されました。
- JDK7以下のバージョンでコンパイルしたソースをOpenJDK 8 runtimeで実行できるようにサポートを開始しました。
– ただし、JDK 8でコンパイルしたbytecodeはサポートしません。（Spring 4.0以降のバージョンでサポートされています。）
これらの情報が参考になれば幸いです。
