CVE-2025-22235

CNA: VMware
Gravidade: Alta
Data de criação: 24de abril de 2025
CWE-20: Validação inadequada de entradas
Afeta: Versões^{do Spring®} Boot: todas as versões de código aberto anteriores à 3.4.5, exceto 2.7.25+, 2.7.18.tuxcare.6, 3.1.16+, 3.2.14+, 3.3.11+ e 3.4.5+
CVSS: 3,1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Observação: na versão 2.7.18.tuxcare.6, aplicamos nosso patch para o CVE-2025-22235 à versão mais recente disponível da comunidade de código aberto como base.

Essa vulnerabilidade (CVE) foi resolvida pela equipe da TuxCare e
um patch foi disponibilizado para os usuários do ELS for^Spring®.

Conheça o ELS for^Spring®

Índice

Visão geral
Análise detalhada da vulnerabilidade CVE-2025-22235
Informações sobre a vulnerabilidade
Mitigação
Referências

Siga-nos nas redes sociais

Visão geral

^{O Spring®} Boot é um framework desenvolvido com base no^Spring® Framework que simplifica o desenvolvimento de aplicativos^Spring® autônomos e prontos para produção. Ele elimina grande parte da configuração repetitiva exigida pelos aplicativos^Spring® tradicionais, oferecendo configuração automática, padrões predefinidos e servidores embutidos.

A validação inadequada de entradas ocorre quando o produto recebe entradas ou dados, mas não verifica — ou verifica de forma incorreta — se essas entradas possuem as propriedades necessárias para que os dados sejam processados com segurança e corretamente.

EndpointRequest.to() cria um comparador para null/** caso o endpoint do atuador, para o qual o EndpointRequest foi criado, esteja desativado ou não esteja exposto.

Seu aplicativo pode ser afetado por isso caso todas as condições a seguir sejam atendidas:

Você usa o^Spring® Security
O método EndpointRequest.to() foi utilizado em uma configuração da cadeia^{do Spring®} Security
O endpoint ao qual o EndpointRequest faz referência está desativado ou não está disponível na web
Sua aplicação processa solicitações para /null e esse caminho precisa de proteção

Você não será afetado se alguma das seguintes condições for verdadeira:

Você não usa o^Spring® Security
Você não usa o EndpointRequest.to()
O endpoint ao qual EndpointRequest.to() se refere está habilitado e está exposto
Sua aplicação não processa solicitações para /null ou esse caminho não precisa de proteção

Esse problema afeta várias versões do

Pacote Spring-boot-actuator-autconfigure

Dossiê de Vulnerabilidades
ID do CVE	CVE-2025-22235
Gravidade	MÁXIMA: 7,3
CWE-ID e nome	CWE-20: Validação inadequada de entradas
Projeto afetado	^Spring® Boot
Pacotes afetados	spring-boot-actuator-autconfigure
Versões afetadas	<2.7.0;2.7.24.2> <3.1.0;3.1.15.2> <3.2.0;3.2.13.2> <3.3.0;3.3.10> <3.4.0;3.4.4>
Data de publicação do NVD	28 de abril de 2025
Versão corrigida do TuxCare	2.7.18.tuxcare.6

Análise detalhada da vulnerabilidade CVE-2025-22235

Produto afetado:^Spring® Boot
Pacotes afetados: spring-boot-actuator-autconfigure

Versões afetadas:
- 2.7.0 – 2.7.24.2
- 3.1.0 – 3.1.15.2
- 3.2.0 – 3.2.13.2
- 3.3.0 – 3.3.10
- 3.4.0 – 3.4.4
- Versões mais antigas e sem suporte também são afetadas

Repositório do GitHub: https://github.com/spring-projects/spring-boot
Pacotes publicados: https://mvnrepository.com/artifact/org.springframework.boot/spring-boot-actuator-autoconfigure

Corrigido na versão: ELS para^Spring® Boot v2.7.18.TuxCare.6

Informações sobre a vulnerabilidade

No^Spring® Boot, o método EndpointRequest.to() cria um comparador para null/** caso o endpoint do actuator, para o qual o EndpointRequest foi criado, esteja desativado ou não esteja exposto.

Mitigação

^{O Spring®} Boot 2.7.x não conta mais com o suporte da comunidade de código aberto, pois sua data de fim de vida útil é 30 de junho de 2023. Isso significa simplesmente que, a partir dessa data, essa versão não receberá mais atualizações para corrigir esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

Aproveite o parceiro de suporte da TuxCare para obter o Suporte de Ciclo de Vida Ilimitado, que amplia o suporte de segurança regular da comunidade após o fim da vida útil (EoL), e basta aplicar nossos patches.
Atualize para a versão 3.3.11+ da comunidade de código aberto e aceite o risco de não receber mais atualizações de segurança da comunidade a partir de 30 de junho de 2025.
Como alternativa, dedique-se a atualizar para as versões de código aberto mais recentes e recomendadas^{do Spring®} Framework que não sejam afetadas — por exemplo, 3.4.5+ — e conte com o suporte da comunidade até o final de 2025
Não processe solicitações para `/null`. Caso seja necessário lidar com `/null`, certifique-se de que medidas de segurança robustas estejam em vigor.
Verifique se os endpoints referenciados por `EndpointRequest.to()` estão corretamente expostos, habilitados e acessíveis pela web.

Se você precisar de uma correção para essa vulnerabilidade em qualquer outra versão^{do Spring®} Boot, entre em contato conosco. Estamos aqui para ajudá-lo!