PT-2022-15748 · Unknown+1 · Spring Framework+1

Ahmed Alwardani · Publicado 2022-04-14 · Atualizado 2024-10-22 · CVE-2022-22968

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do Spring Framework de 5.3.0 a 5.3.18

Versões do Spring Framework 5.2.0 a 5.2.20

Versões mais antigas e sem suporte do Spring Framework

Descrição

Os padrões para disallowedFields em um DataBinder no Spring Framework diferenciam maiúsculas de minúsculas. Isso significa que um campo não está efetivamente protegido a menos que seja listado com o primeiro caractere em maiúscula e minúscula, incluindo o primeiro caractere de todos os campos aninhados dentro do caminho da propriedade.

Recomendações

Para as versões 5.3.0 a 5.3.18 do Spring Framework, atualize para a versão 5.3.19 ou posterior.

Para as versões 5.2.0 a 5.2.20 do Spring Framework, atualize para a versão 5.2.21 ou posterior.

Para versões mais antigas e sem suporte do Spring Framework, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

Enumeração de Fraquezas

CWE-178

Identificadores relacionados

CVE-2022-22968

GHSA-G5MM-VMX4-3RG7

Produtos afetados

Debian

Spring Framework

Referências · 19

• https://github.com/spring-projects/spring-framework · Nota
• https://github.com/spring-projects/spring-framework/commit/a7cf19cec5ebd270f97a194d749e2d5701ad2ab7 · Nota
• https://github.com/spring-projects/spring-framework/commit/833e750175349ab4fd502109a8b41af77e25cdea · Nota
• https://t.me/cibsecurity/40833 · Publicação no Telegram
• https://oracle.com/security-alerts/cpujul2022.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-22968 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2022-22968 · Aviso do Fabricante
• https://tanzu.vmware.com/security/cve-2022-22968 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-22968 · Nota de Segurança
• https://t.me/cvenotify/99093 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-g5mm-vmx4-3rg7 · Aviso do Fabricante
• https://t.me/cvenotify/98708 · Publicação no Telegram
• https://ubuntu.com/security/CVE-2022-22968 · Aviso do Fabricante
• https://security.netapp.com/advisory/ntap-20220602-0004 · Nota
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-22968 · Aviso do Fabricante