Hibernate Validator < 6.2 / 7.0 任意 RCE

high Nessus 插件 ID 238330

简介

远程主机上的 Java 库可能受到任意 RCE 漏洞的影响

描述

6.2.0 和 7.0.0版之前的 Hibernate Validator 可能在默认情况下以及根据其使用方式在带有表达式语言的限制违反消息中内插用户提供的输入。这可允许攻击者访问敏感信息或执行任意 Java 代码。自 6.2.0 和 7.0.0 起Hibernate Validator 不再使用表达式语言插入自定义限制违反消息并强烈建议不要在限制违反消息中允许用户提供的输入。

请注意,Nessus 尚未测试此问题,而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级到 hibernate-validator 6.2 / 7 .0 或更高版本。

另见

https://github.com/advisories/GHSA-7v6m-28jr-rg84

插件详情

严重性: High

ID: 238330

文件名: hibernate_validator_cve-2025-35036.nasl

版本: 1.1

类型: local

代理: windows, macosx, unix

系列: Misc.

发布时间: 2025/6/12

最近更新时间: 2025/6/12

配置: 启用偏执模式, 启用全面检查 (optional)

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 4.2

CVSS v2

风险因素: High

基本分数: 7.5

矢量: CVSS2#AV:N/AC:L/Au:N/C:P/I:P/A:P

CVSS 分数来源: CVE-2025-35036

CVSS v3

风险因素: High

基本分数: 7.3

矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

漏洞信息

CPE: cpe:/a:redhat:hibernate_validator

必需的 KB 项: Settings/ParanoidReport, installed_sw/Hibernate Validator

补丁发布日期: 2025/6/3

漏洞发布日期: 2025/6/3

参考资料信息

CVE: CVE-2025-35036

IAVA: 2025-A-0404