リモートホストにインストールされている Spring_framework のバージョンは、5.3.43、6.0.28、6.1.20、6.2.7 より前です。したがって、CVE-2025-22233 のアドバイザリに記載されている脆弱性の影響を受けます。

  - CVE-2024-38820 は、設定された disallowedFields パターンとリクエストパラメーター名の両方に対して、ロケールに依存しない小文字の変換を保証しました。ただし、disallowedFields チェックをバイパスできる場合があります。影響を受ける Spring 製品とバージョン Spring Framework: * 6.2.0 - 6.2.6 * 6.1.0 - 6.1.19 * 6.0.0 - 6.0.27 * 5.3.0 - 5.3.42 * 古いサポートされていないバージョンも影響を受けます 影響を受けるバージョンのユーザーは、対応する修正済みのバージョンにアップグレードする必要があります。影響を受けるバージョン 修正バージョンの可用性 6.2.x 6.2.7 OSS6.1.x 6.1.20 OSS6.0.x 6.0.28 商用 https://enterprise.spring.io/ 5.3.x 5.3.43 商用 https://enterprise.spring.io/ 追加の緩和手順は必要ありません。一般に、データバインドのためのプロパティだけを持つ専用モデルオブジェクトの使用、またはコンストラクターバインディングの使用を推奨します。コンストラクター引数は、declarativeBinding フラグでセッターバインディングをオフにすることで、バインドするものを明示的に宣言しているためです。参照ドキュメントの「モデルデザイン」セクションを参照してください。バインディングの設定では、disallowedFields よりも allowedFields (明示的なリスト) を使用するようにします。クレジット この問題は、NTT DATA Group Corporation の TERASOLUNA フレームワーク開発チームによって責任を持って報告されました。(CVE-2025-22233)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Spring_framework 5.3.x < 5.3.43 / 6.0.x < 6.0.28 / 6.1.x < 6.1.20 / 6.2.x < 6.2.7 (CVE-2025-22233)

low Nessus プラグイン ID 237119

バージョン 1.3