Vulnerabilidad en Apache CXF (CVE-2025-48795)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-400
Consumo de recursos no controlado (Agotamiento de recursos)
Fecha de publicación:
15/07/2025
Última modificación:
04/11/2025
Descripción
Apache CXF almacena mensajes grandes basados en flujos como archivos temporales en el sistema de archivos local. Se introdujo un error que provoca que el archivo temporal completo se lea en memoria y luego se registre. Un atacante podría aprovechar esto para provocar un ataque de denegación de servicio mediante una excepción de memoria insuficiente. Además, es posible configurar CXF para cifrar archivos temporales y evitar que las credenciales confidenciales se almacenen en caché sin cifrar en el sistema de archivos local. Sin embargo, este error implica que los archivos en caché se escriben en los registros sin cifrar. Se recomienda actualizar a las versiones 3.5.11, 3.6.6, 4.0.7 o 4.1.1, que solucionan este problema.
Impacto
Puntuación base 3.x
5.60
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:apache:cxf:3.5.10:*:*:*:*:*:*:* | ||
| cpe:2.3:a:apache:cxf:3.6.5:*:*:*:*:*:*:* | ||
| cpe:2.3:a:apache:cxf:4.0.6:*:*:*:*:*:*:* | ||
| cpe:2.3:a:apache:cxf:4.1.0:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página