Spring_framework 5.3.x < 5.3.43 / 6.0.x < 6.0.28 / 6.1.x < 6.1.20 / 6.2.x < 6.2.7 (CVE-2025-22233)
low Nessus プラグイン ID 237119
Language:
概要
リモートホストにセキュリティ更新がありません。説明
リモートホストにインストールされている Spring_framework のバージョンは、5.3.43、6.0.28、6.1.20、6.2.7 より前です。したがって、CVE-2025-22233 のアドバイザリに記載されている脆弱性の影響を受けます。- CVE-2024-38820 は、設定された disallowedFields パターンとリクエストパラメーター名の両方に対して、ロケールに依存しない小文字の変換を保証しました。ただし、disallowedFields チェックをバイパスできる場合があります。影響を受ける Spring 製品とバージョン Spring Framework: * 6.2.0 - 6.2.6 * 6.1.0 - 6.1.19 * 6.0.0 - 6.0.27 * 5.3.0 - 5.3.42 * 古いサポートされていないバージョンも影響を受けます 影響を受けるバージョンのユーザーは、対応する修正済みのバージョンにアップグレードする必要があります。影響を受けるバージョン 修正バージョンの可用性 6.2.x 6.2.7 OSS6.1.x 6.1.20 OSS6.0.x 6.0.28 商用 https://enterprise.spring.io/ 5.3.x 5.3.43 商用 https://enterprise.spring.io/ 追加の緩和手順は必要ありません。一般に、データバインドのためのプロパティだけを持つ専用モデルオブジェクトの使用、またはコンストラクターバインディングの使用を推奨します。コンストラクター引数は、declarativeBinding フラグでセッターバインディングをオフにすることで、バインドするものを明示的に宣言しているためです。参照ドキュメントの「モデルデザイン」セクションを参照してください。バインディングの設定では、disallowedFields よりも allowedFields (明示的なリスト) を使用するようにします。クレジット この問題は、NTT DATA Group Corporation の TERASOLUNA フレームワーク開発チームによって責任を持って報告されました。(CVE-2025-22233)
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
Spring_framework バージョン 5.3.43 / 6.0.28 / 6.1.20 / 6.2.7 以降にアップグレードしてください。参考資料
プラグインの詳細
深刻度: Low
ID: 237119
ファイル名: spring_framework_CVE-2025-22233.nasl
バージョン: 1.2
タイプ: local
エージェント: windows, macosx, unix
ファミリー: Misc.
公開日: 2025/5/22
更新日: 2025/5/23
サポートされているセンサー: Nessus Agent, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 1.4
CVSS v3
リスクファクター: Low
基本値: 3.1
現状値: 2.7
ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/a:pivotal_software:spring_framework, cpe:/a:vmware:spring_framework
必要な KB アイテム: installed_sw/Spring Framework
パッチ公開日: 2025/5/15
脆弱性公開日: 2025/5/16
参照情報
CVE: CVE-2025-22233
IAVA: 2025-A-0364