Apache CXF 3.5.10 / 3.6.5 / 4.0.6 / 4.1.0 DoSCVE-2025-48795

medium Nessus プラグイン ID 242260

Language:

概要

Apache CXF は、サービス拒否脆弱性の影響を受けます。

説明

リモートホストにインストールされている Apache CXF のバージョンは 3.5.10、、 3.6.5、 4.0.6、または 4.1.0です。したがって、サービス拒否の脆弱性の影響を受けます。

- Apache CXF は、大きなストリームベースのメッセージをローカルファイルシステムに一時ファイルとして保存します。一時ファイル全体がメモリに読み込まれ、その後に記録されるバグが導入されました。攻撃者がこれを悪用し、メモリ不足の例外を引き起こすことでサービス拒否攻撃を引き起こす可能性があります。さらに、機密の認証情報がローカルファイルシステムで暗号化されずにキャッシュされるのを回避するために、一時ファイルを暗号化するように CXF を構成することもできます。ただし、このバグは、キャッシュされたファイルが暗号化されないログに書き込まれることを意味します。ユーザーは、この問題を修正するバージョン 3.5.11、 3.6.6、 4.0.7 、または 4.1.1にアップグレードすることが推奨されます。CVE-2025-48795

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。