リモートホストには、パストラバーサルの脆弱性により影響を受ける Spring Framework のバージョンが含まれています。 

  - 関数型ウェブフレームワークである WebMvc.fn または WebFlux.fn を通じて静的リソースを提供するアプリケーションは、パストラバーサル攻撃に対して脆弱です。攻撃者は、悪意のある HTTP リクエストを細工し、Spring アプリケーションが実行されているプロセスからもアクセス可能なファイルシステム上の任意のファイルを取得することができます。これは CVE-2024-38816 と似ていますが、入力が異なります。(CVE-2024-38819)

  - CVE-2022-22968 の修正により、DataBinder の disallowedFields パターンで大文字と小文字が区別されなくなりました。ただし、String.toLowerCase() にはロケールに依存するいくつかの例外があり、フィールドが期待通りに保護されない可能性があります。(CVE-2024-38820)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Spring Framework < 5.3.41 / 6.0.x < 6.0.25 / 6.1.x < 6.1.14 の複数の脆弱性

medium Nessus プラグイン ID 209652

バージョン 1.1