CVE-2025-23184
Apache CXF: Denial of Service vulnerability with temporary files
MEDIUM 5.9
En bref
- Source
- NVD
- EPSS
- EPSS 2.19 % · centile 82 ()
- État
- PUBLISHED
- Publiée
- Mise à jour
- Attribuée par
- apache
- Statut NVD
- Modified
Description
A potential denial of service vulnerability is present in versions of Apache CXF before 3.5.10, 3.6.5 and 4.0.6. In some edge cases, the CachedOutputStream instances may not be closed and, if backed by temporary files, may fill up the file system (it applies to servers and clients).
Faiblesses (CWE)
- CWE-400 — Consommation de ressources non maîtrisée (déni de service)
Références
- https://lists.apache.org/thread/lfs8l63rnctnj2skfrxyys7v8fgnt122
- http://www.openwall.com/lists/oss-security/2025/01/20/3
- https://security.netapp.com/advisory/ntap-20250214-0003/
- https://www.vicarius.io/vsociety/posts/cve-2025-23184-detect-apache-cxf-vulnerability
- https://www.vicarius.io/vsociety/posts/cve-2025-23184-mitigate-apache-cxf-vulnerability
Scores
| Version | Score | Vecteur | Évalué par |
|---|---|---|---|
| CVSS 3.1 | MEDIUM 5.9 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H | apache |
| CVSS 3.1 | MEDIUM 5.9 | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · security@apache.org (Secondary) |
| CVSS 3.1 | HIGH 7.5 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H | NVD · nvd@nist.gov (Primary) |
Avis
- GHSA-fh5r-crhr-qrrq — Apache CXF: Denial of Service vulnerability with temporary files
Références européennes
- ENISA EUVD · EUVD-2025-0158
- GCVE · GCVE-0-2025-23184
Avis du CERT-FR
- CERTFR-2026-AVI-0327 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-1051 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0924 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0724 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0279 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
- CERTFR-2025-AVI-0255 — Multiples vulnérabilités dans les produits IBM · cert.ssi.gouv.fr
Configurations affectées (CPE NVD)
cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*< 3.5.10cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*≥ 3.6.0 < 3.6.5cpe:2.3:a:apache:cxf:*:*:*:*:*:*:*:*≥ 4.0.0 < 4.0.6
Produits affectés
| Produit | Versions |
|---|---|
| Apache Software Foundation · Apache CXF | affected 0 < 3.5.10 ; affected 3.6.0 < 3.6.5 ; affected 4.0.0 < 4.0.6 |
Sources
| Source | Licence |
|---|---|
| CVE List (CVEProject cvelistV5) | CVE Program Terms of Use |
| EPSS (FIRST.org) | FIRST — attribution requested |
| ENISA EUVD | ENISA — reproduction authorised, source acknowledged |
| CERT-FR (ANSSI) | Licence Ouverte / Etalab 2.0 |
| NVD (NIST) via fkie-cad/nvd-json-data-feeds | Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD |