PT-2025-12536 · Apache+2 · Apache Commons Vfs+2

Marek Šunda · Publicado 2025-03-23 · Atualizado 2025-04-03 · CVE-2025-30474

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Apache Commons VFS anteriores à 2.10.0

Descrição O problema está relacionado à exposição de informações sensíveis a um ator não autorizado no Apache Commons VFS. Especificamente, a classe FtpFileObject pode lançar uma exceção quando um arquivo não é encontrado, revelando o URI original em sua mensagem, que pode incluir uma senha.

Recomendações Para versões anteriores à 2.10.0, atualize para a versão 2.10.0, que corrige o problema mascarando a senha na mensagem de exceção.

Correção

Information Disclosure

Enumeração de Fraquezas

CWE-200

Identificadores relacionados

BDU:2025-03215

CVE-2025-30474

GHSA-3936-3GX6-49C4

OESA-2025-1356

OESA-2025-1357

OPENSUSE-SU-2025:14929-1

OPENSUSE-SU-2025_1022-1

SUSE-SU-2025:1022-1

Produtos afetados

Apache Commons Vfs

Debian

Suse

Referências · 37

• https://github.com/apache/commons-vfs · Nota
• https://osv.dev/vulnerability/OESA-2025-1356 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2025-03215 · Nota de Segurança
• https://security-tracker.debian.org/tracker/CVE-2025-30474 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2025-30474 · Nota de Segurança
• https://lists.apache.org/thread/w6ztgnbk6ccry3470x191g3xwrpgy6f4 · Aviso do Fabricante
• https://twitter.com/VulmonFeeds/status/1903833778100846983 · Publicação no Twitter
• https://twitter.com/oss_security/status/1903846921917157380 · Publicação no Twitter
• https://issues.apache.org/jira/browse/VFS-169 · Correção
• https://openwall.com/lists/oss-security/2025/03/23/2 · Nota
• https://bugzilla.suse.com/1239974 · Nota
• https://access.redhat.com/security/cve/CVE--2025-30474 · Nota
• https://bugzilla.suse.com/1239973 · Nota
• https://osv.dev/vulnerability/GHSA-3936-3gx6-49c4 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2025-30474 · Aviso do Fabricante