Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - CVE-2024-38820 は、設定された disallowedFields パターンとリクエストパラメーター名の両方に対して、ロケールに依存しない小文字の変換を保証しました。ただし、disallowedFields チェックをバイパスできる場合があります。影響を受ける Spring 製品とバージョン Spring Framework: * 6.2.0 - 6.2.6 * 6.1.0 - 6.1.19 * 6.0.0 - 6.0.27 * 5.3.0 - 5.3.42 * 古いサポートされていないバージョンも影響を受けます 影響を受けるバージョンのユーザーは、対応する修正済みのバージョンにアップグレードする必要があります。影響を受けるバージョン 修正バージョンの可用性 6.2.x 6.2.7 OSS6.1.x 6.1.20 OSS6.0.x 6.0.28 商用 https://enterprise.spring.io/ 5.3.x 5.3.43 商用 https://enterprise.spring.io/ 追加の緩和手順は必要ありません。一般に、データバインドのためのプロパティだけを持つ専用モデルオブジェクトの使用、またはコンストラクターバインディングの使用を推奨します。コンストラクター引数は、declarativeBinding フラグでセッターバインディングをオフにすることで、バインドするものを明示的に宣言しているためです。参照ドキュメントの「モデルデザイン」セクションを参照してください。バインディングの設定では、disallowedFields よりも allowedFields (明示的なリスト) を使用するようにします。クレジット この問題は、NTT DATA Group Corporation の TERASOLUNA フレームワーク開発チームによって責任を持って報告されました。(CVE-2025-22233)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-22233

low Nessus プラグイン ID 255303

バージョン 1.9