Apache CXF 3.5.10 / 3.6.5 / 4.0.6 / 4.1.0 の DoS (CVE-2025-48795)

medium Nessus プラグイン ID 242260

Language:

概要

Apache CXF はサービス拒否の脆弱性の影響を受けます。

説明

リモートホストにインストールされている Apache CXF のバージョンは、3.5.10、3.6.5、4.0.6または 4.1.0 です。したがって、サービス拒否の脆弱性の影響を受けます。

- Apache CXF は、大きなストリームベースのメッセージをローカルファイルシステムに一時ファイルとして保存します。一時ファイル全体がメモリに読み込まれ、その後に記録されるバグが導入されました。攻撃者がこれを悪用し、メモリ不足の例外によってサービス拒否攻撃を引き起こす可能性があります。さらに、機密の認証情報がローカルファイルシステムで暗号化されずにキャッシュされるのを回避するために、一時ファイルを暗号化するように CXF を構成することもできます。ただし、このバグは、キャッシュされたファイルが暗号化されない状態でログに書き込まれることを意味します。ユーザーには、この問題を修正したバージョン 3.5.11、3.6.6、4.0.7 または 4.1.1 へのアップグレードをお勧めします。(CVE-2025-48795)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。