Nutanix AOS多個弱點 (NXSA-AOS-7.0.1.13)
high Nessus Plugin ID 299020
語言:
概要
Nutanix AOS 主機受到多個弱點影響。說明
遠端主機上安裝的 AOS 版本低於 7.0.1.13。因此會受到 NXSA-AOS-7.0.1.13 公告中所提及的多個弱點影響。- 在某些情況下BIND 接受來自回應的記錄時過於寬鬆進而允許攻擊者將偽造的資料插入快取。此問題會影響 BIND 9 版本 9.11.0 至 9.16.50、 9.18.0 至 9.18.39、 9.20.0 至 9.20.13、 9.21.0 至 9.21.12、9.11.3-S1 至 9.16.50-S1、9.18.11-S1 至 9.18。 39-S1以及 9.20.9-S1 至 9.20.13-S1。 (CVE-2025-40778)
- Spring Framework 註解偵測機制可能無法正確解析類型階層中具有無限制泛型之參數化超類型的方法註解。如果將此類註解用於授權決策，這樣可能會產生問題。如果您使用 Spring Security 的 @EnableMethodSecurity 功能，您的應用程式可能會受到此問題的影響。若您未使用 @EnableMethodSecurity，或您沒有在泛型超級類別或泛型介面的方法上使用安全性註解，則不會受到此弱點影響。此 CVE 與 CVE-2025-41248 https://spring.io/security/cve-2025-41248 一起發布。 (CVE-2025-41249)
- Spring Framework MVC 應用程式部署於不相容的 Servlet 容器時容易出現路徑遊走弱點。下列條件皆為 true 時應用程式可能容易遭受攻擊* 應用程式部署為 WAR 或具有內嵌 Servlet 容器 * Servlet 容器不會拒絕可疑的序列 https://jakarta.ee/specifications/servlet/6.1/jakarta-servlet-spec-6.1.html#uri-path-canonicalization * 應用程式提供靜態資源 https://docs.spring.io/spring-framework/reference/web/webmvc/mvc-config/static-resources.html#page-titlewith Spring 資源處理 我們有已驗證部署在 Apache Tomcat 或 Eclipse Jetty 上的應用程式沒有弱點只要組態中未停用預設安全性功能。
由於我們無法針對所有 Servlet 容器和組態變體檢查惡意利用因此強烈建議升級您的應用程式。 (CVE-2025-41242)
- 在 2.7.2 之前的 Expat 中libexpat 允許攻擊者透過提交進行剖析的小文件觸發大量動態記憶體配置。 (CVE-2025-59375)
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
將 Nutanix AOS 軟體更新至建議的版本。升級前：如果此叢集已使用 Prism Central 註冊，請確認已先將 Prism Central 升級至相容版本。請參閱 Nutanix 入口網站上的「軟體產品互通性」頁面。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 299020
檔案名稱: nutanix_NXSA-AOS-7_0_1_13.nasl
版本: 1.1
類型: local
系列: Misc.
已發布: 2026/2/13
已更新: 2026/2/13
支援的感應器: Nessus
風險資訊
VPR
風險因素: High
分數: 7.1
CVSS v2
風險因素: High
基本分數: 7.8
時間性分數: 6.1
媒介: CVSS2#AV:N/AC:L/Au:N/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2025-41249
CVSS v3
風險因素: High
基本分數: 8.6
時間性分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
CVSS 評分資料來源: CVE-2025-40778
弱點資訊
CPE: cpe:/o:nutanix:aos
必要的 KB 項目: Host/Nutanix/Data/lts, Host/Nutanix/Data/Service, Host/Nutanix/Data/Version, Host/Nutanix/Data/arch
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2026/2/13
弱點發布日期: 2025/6/10
參考資訊
CVE: CVE-2025-40778, CVE-2025-41242, CVE-2025-41249, CVE-2025-59375