22235

CNA : VMware
Gravité : élevée
Date de création : 24 avril 2025
CWE-20 : Validation incorrecte des données d'entrée
Affecte: Versions^Spring® Boot: toutes les versions open source antérieures à la version 3.4.5, à l'exception des versions 2.7.25+, 2.7.18.tuxcare.6, 3.1.16+, 3.2.14+, 3.3.11+ et 3.4.5+.
CVSS: 3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Note: dans la version 2.7.18.tuxcare.6, nous appliquons notre correctif pour CVE-2025-22235 à la dernière version communautaire open source disponible comme base de référence.

Ce CVE a été résolu par l'équipe TuxCare et
un correctif a été fourni à ELS pour les utilisateurs^{de Spring®.}

Découvrez ELS for^Spring®

Suivez-nous sur les réseaux sociaux

Vue d'ensemble

^Spring® Boot est un framework basé sur^Spring® Framework qui simplifie le développement d'applications^Spring® autonomes et prêtes à l'emploi. Il élimine une grande partie de la configuration standard requise par les applications^Spring® traditionnelles en proposant une configuration automatique, des paramètres par défaut prédéfinis et des serveurs intégrés.

Il y a validation incorrecte des entrées lorsque le produit reçoit des entrées ou des données, mais qu'il ne valide pas ou valide incorrectement que les entrées possèdent les propriétés requises pour traiter les données correctement et en toute sécurité.

EndpointRequest.to() crée une correspondance pour null/** si le point de terminaison de l'actionneur, pour lequel EndpointRequest a été créé, est désactivé ou n'est pas exposé.

Votre demande peut en être affectée si toutes les conditions suivantes sont remplies :

Vous utilisez^Spring® Security
EndpointRequest.to() a été utilisé dans une configuration de chaîne^Spring® Security.
Le point d'accès auquel EndpointRequest fait référence est désactivé ou n'est pas exposé via le web.
Votre application traite des requêtes vers /null et ce chemin doit être protégé

Vous n'êtes pas concerné si l'une des situations suivantes est vraie :

Vous n'utilisez pas^Spring® Security
Vous n'utilisez pas EndpointRequest.to()
Le point d'accès auquel EndpointRequest.to() fait référence est activé et exposé
Votre application ne traite pas les requêtes vers /null ou ce chemin n'a pas besoin d'être protégé.

Ce problème affecte plusieurs versions de

Paquet Spring-boot-actuator-autconfigure

Dossier de vulnérabilité
ID CVE	22235
Sévérité	HAUT : 7,3
CWE-ID et nom	CWE-20: Validation incorrecte des données d'entrée
Projet concerné	Botte^Spring®
Paquets concernés	spring-boot-actuator-autconfigure
Versions concernées	<2.7.0;2.7.24.2> <3.1.0;3.1.15.2> <3.2.0;3.2.13.2> <3.3.0;3.3.10> <3.4.0;3.4.4>
Date de publication de la NVD	28 avril 2025
TuxCare version fixe	2.7.18tuxcare.6

Exploration détaillée de22235

Produit concerné :^Spring® Boot
Paquets affectés : spring-boot-actuator-autconfigure

Versions concernées :
- 2.7.0 – 2.7.24.2
- 3.1.0 – 3.1.15.2
- 3.2.0 – 3.2.13.2
- 3.3.0 – 3.3.10
- 3.4.0 – 3.4.4
- Les versions plus anciennes et non prises en charge sont également concernées.

Dépôt GitHub : https://github.com/spring-projects/spring-boot
Paquets publiés : https://mvnrepository.com/artifact/org.springframework.boot/spring-boot-actuator-autoconfigure

Corrigé dans : ELS pour^Spring® Boot v2.7.18.TuxCare.6

Informations sur les vulnérabilités

Dans^Spring® Boot, EndpointRequest.to() crée un comparateur pour null/** si le point de terminaison de l'actionneur, pour lequel EndpointRequest a été créé, est désactivé ou non exposé.

Atténuation

^Spring® Boot 2.7.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie est fixée au 30 juin 2023. Cela signifie simplement qu'à partir de cette date, cette version ne bénéficiera plus d'aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

Tirez parti du partenaire d'assistance TuxCare pour un support de cycle de vie sans fin qui étend le support de sécurité communautaire EoL régulier et appliquez simplement nos correctifs.
Passez à la version 3.3.11+ de la communauté open source et acceptez le risque de ne plus recevoir de mises à jour de sécurité de la part de la communauté à partir du 30 juin 25.
Vous pouvez également prendre la peine de passer aux dernières versions open source prises en charge du framework^Spring® qui ne sont pas concernées, par exemple la version 3.4.5+, et bénéficier ainsi du support de la communauté jusqu'à fin 2025.
Ne traitez pas les requêtes vers `/null`. Si le traitement de `/null` est nécessaire, s'assurer que des mesures de sécurité solides sont en place.
Vérifier que les points de terminaison référencés par `EndpointRequest.to()` sont correctement exposés, activés et accessibles via le web.

Si vous avez besoin d'une solution pour cette vulnérabilité pour toute autre version^{de Spring®} Boot, n'hésitez pas à nous contacter, nous sommes là pour vous aider !