-
Notifications
You must be signed in to change notification settings - Fork 0
/
trivy-image-report.html
378 lines (371 loc) · 103 KB
/
trivy-image-report.html
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
For OSS Maintainers: VEX Notice
--------------------------------
If you're an OSS maintainer and Trivy has detected vulnerabilities in your project that you believe are not actually exploitable, consider issuing a VEX (Vulnerability Exploitability eXchange) statement.
VEX allows you to communicate the actual status of vulnerabilities in your project, improving security transparency and reducing false positives for your users.
Learn more and start using VEX: https://aquasecurity.github.io/trivy/v0.54/docs/supply-chain/vex/repo#publishing-vex-documents
To disable this notice, set the TRIVY_DISABLE_VEX_NOTICE environment variable.
shettyadarsha/boardgame:latest (ubuntu 20.04)
=============================================
Total: 54 (UNKNOWN: 0, LOW: 39, MEDIUM: 15, HIGH: 0, CRITICAL: 0)
┌──────────────────┬────────────────┬──────────┬──────────┬──────────────────────────┬────────────────────┬──────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────────┼────────────────┼──────────┼──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ coreutils │ CVE-2016-2781 │ LOW │ affected │ 8.30-3ubuntu2 │ │ coreutils: Non-privileged session can escape to the parent │
│ │ │ │ │ │ │ session in chroot │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2016-2781 │
├──────────────────┼────────────────┼──────────┼──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ curl │ CVE-2024-7264 │ MEDIUM │ fixed │ 7.68.0-1ubuntu2.22 │ 7.68.0-1ubuntu2.23 │ curl: libcurl: ASN.1 date parser overread │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-7264 │
├──────────────────┼────────────────┼──────────┼──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ gpgv │ CVE-2022-3219 │ LOW │ affected │ 2.2.19-3ubuntu2.2 │ │ gnupg: denial of service issue (resource consumption) using │
│ │ │ │ │ │ │ compressed packets │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-3219 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libc-bin │ CVE-2016-20013 │ │ │ 2.31-0ubuntu9.16 │ │ sha256crypt and sha512crypt through 0.6 allow attackers to │
│ │ │ │ │ │ │ cause a denial of... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2016-20013 │
├──────────────────┤ │ │ │ ├────────────────────┤ │
│ libc6 │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
├──────────────────┼────────────────┼──────────┼──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libcurl4 │ CVE-2024-7264 │ MEDIUM │ fixed │ 7.68.0-1ubuntu2.22 │ 7.68.0-1ubuntu2.23 │ curl: libcurl: ASN.1 date parser overread │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-7264 │
├──────────────────┼────────────────┤ ├──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libgcrypt20 │ CVE-2024-2236 │ │ affected │ 1.8.5-5ubuntu1.1 │ │ libgcrypt: vulnerable to Marvin Attack │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-2236 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libgssapi-krb5-2 │ CVE-2024-26462 │ │ │ 1.17-6ubuntu4.4 │ │ krb5: Memory leak at /krb5/src/kdc/ndr.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26462 │
│ ├────────────────┤ ├──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37370 │ │ fixed │ │ 1.17-6ubuntu4.6 │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37370 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37371 │ │ │ │ │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37371 │
│ ├────────────────┼──────────┼──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26458 │ LOW │ affected │ │ │ krb5: Memory leak at /krb5/src/lib/rpc/pmap_rmt.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26458 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26461 │ │ │ │ │ krb5: Memory leak at /krb5/src/lib/gssapi/krb5/k5sealv3.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26461 │
├──────────────────┼────────────────┼──────────┤ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ libk5crypto3 │ CVE-2024-26462 │ MEDIUM │ │ │ │ krb5: Memory leak at /krb5/src/kdc/ndr.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26462 │
│ ├────────────────┤ ├──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37370 │ │ fixed │ │ 1.17-6ubuntu4.6 │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37370 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37371 │ │ │ │ │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37371 │
│ ├────────────────┼──────────┼──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26458 │ LOW │ affected │ │ │ krb5: Memory leak at /krb5/src/lib/rpc/pmap_rmt.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26458 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26461 │ │ │ │ │ krb5: Memory leak at /krb5/src/lib/gssapi/krb5/k5sealv3.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26461 │
├──────────────────┼────────────────┼──────────┤ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ libkrb5-3 │ CVE-2024-26462 │ MEDIUM │ │ │ │ krb5: Memory leak at /krb5/src/kdc/ndr.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26462 │
│ ├────────────────┤ ├──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37370 │ │ fixed │ │ 1.17-6ubuntu4.6 │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37370 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37371 │ │ │ │ │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37371 │
│ ├────────────────┼──────────┼──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26458 │ LOW │ affected │ │ │ krb5: Memory leak at /krb5/src/lib/rpc/pmap_rmt.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26458 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26461 │ │ │ │ │ krb5: Memory leak at /krb5/src/lib/gssapi/krb5/k5sealv3.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26461 │
├──────────────────┼────────────────┼──────────┤ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ libkrb5support0 │ CVE-2024-26462 │ MEDIUM │ │ │ │ krb5: Memory leak at /krb5/src/kdc/ndr.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26462 │
│ ├────────────────┤ ├──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37370 │ │ fixed │ │ 1.17-6ubuntu4.6 │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37370 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-37371 │ │ │ │ │ krb5: GSS message token handling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-37371 │
│ ├────────────────┼──────────┼──────────┤ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26458 │ LOW │ affected │ │ │ krb5: Memory leak at /krb5/src/lib/rpc/pmap_rmt.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26458 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-26461 │ │ │ │ │ krb5: Memory leak at /krb5/src/lib/gssapi/krb5/k5sealv3.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-26461 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libncurses6 │ CVE-2023-45918 │ │ │ 6.2-0ubuntu2.1 │ │ ncurses: NULL pointer dereference in tgetstr in │
│ │ │ │ │ │ │ tinfo/lib_termcap.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45918 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-50495 │ │ │ │ │ ncurses: segmentation fault via _nc_wrap_entry() │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-50495 │
├──────────────────┼────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ libncursesw6 │ CVE-2023-45918 │ │ │ │ │ ncurses: NULL pointer dereference in tgetstr in │
│ │ │ │ │ │ │ tinfo/lib_termcap.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45918 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-50495 │ │ │ │ │ ncurses: segmentation fault via _nc_wrap_entry() │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-50495 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libpcre3 │ CVE-2017-11164 │ │ │ 2:8.39-12ubuntu0.1 │ │ pcre: OP_KETRMAX feature in the match function in │
│ │ │ │ │ │ │ pcre_exec.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2017-11164 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libpng16-16 │ CVE-2022-3857 │ │ │ 1.6.37-2 │ │ libpng: Null pointer dereference leads to segmentation fault │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-3857 │
├──────────────────┼────────────────┤ ├──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libssl1.1 │ CVE-2024-2511 │ │ fixed │ 1.1.1f-1ubuntu2.22 │ 1.1.1f-1ubuntu2.23 │ openssl: Unbounded memory growth with session handling in │
│ │ │ │ │ │ │ TLSv1.3 │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-2511 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-4741 │ │ │ │ │ openssl: Use After Free with SSL_free_buffers │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-4741 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-5535 │ │ │ │ │ openssl: SSL_select_next_proto buffer overread │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-5535 │
├──────────────────┼────────────────┤ ├──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libsystemd0 │ CVE-2023-26604 │ │ affected │ 245.4-4ubuntu3.23 │ │ systemd: privilege escalation via the less pager │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-26604 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-7008 │ │ │ │ │ systemd-resolved: Unsigned name response in signed zone is │
│ │ │ │ │ │ │ not refused when DNSSEC=yes... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-7008 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libtinfo6 │ CVE-2023-45918 │ │ │ 6.2-0ubuntu2.1 │ │ ncurses: NULL pointer dereference in tgetstr in │
│ │ │ │ │ │ │ tinfo/lib_termcap.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45918 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-50495 │ │ │ │ │ ncurses: segmentation fault via _nc_wrap_entry() │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-50495 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ libudev1 │ CVE-2023-26604 │ │ │ 245.4-4ubuntu3.23 │ │ systemd: privilege escalation via the less pager │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-26604 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-7008 │ │ │ │ │ systemd-resolved: Unsigned name response in signed zone is │
│ │ │ │ │ │ │ not refused when DNSSEC=yes... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-7008 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ locales │ CVE-2016-20013 │ │ │ 2.31-0ubuntu9.16 │ │ sha256crypt and sha512crypt through 0.6 allow attackers to │
│ │ │ │ │ │ │ cause a denial of... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2016-20013 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ login │ CVE-2013-4235 │ │ │ 1:4.8.1-1ubuntu5.20.04.5 │ │ shadow-utils: TOCTOU race conditions by copying and removing │
│ │ │ │ │ │ │ directory trees │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2013-4235 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-29383 │ │ │ │ │ shadow: Improper input validation in shadow-utils package │
│ │ │ │ │ │ │ utility chfn │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-29383 │
├──────────────────┼────────────────┤ │ ├──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ ncurses-base │ CVE-2023-45918 │ │ │ 6.2-0ubuntu2.1 │ │ ncurses: NULL pointer dereference in tgetstr in │
│ │ │ │ │ │ │ tinfo/lib_termcap.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45918 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-50495 │ │ │ │ │ ncurses: segmentation fault via _nc_wrap_entry() │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-50495 │
├──────────────────┼────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ ncurses-bin │ CVE-2023-45918 │ │ │ │ │ ncurses: NULL pointer dereference in tgetstr in │
│ │ │ │ │ │ │ tinfo/lib_termcap.c │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45918 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-50495 │ │ │ │ │ ncurses: segmentation fault via _nc_wrap_entry() │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-50495 │
├──────────────────┼────────────────┤ ├──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ openssl │ CVE-2024-2511 │ │ fixed │ 1.1.1f-1ubuntu2.22 │ 1.1.1f-1ubuntu2.23 │ openssl: Unbounded memory growth with session handling in │
│ │ │ │ │ │ │ TLSv1.3 │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-2511 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-4741 │ │ │ │ │ openssl: Use After Free with SSL_free_buffers │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-4741 │
│ ├────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-5535 │ │ │ │ │ openssl: SSL_select_next_proto buffer overread │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-5535 │
├──────────────────┼────────────────┤ ├──────────┼──────────────────────────┼────────────────────┼──────────────────────────────────────────────────────────────┤
│ passwd │ CVE-2013-4235 │ │ affected │ 1:4.8.1-1ubuntu5.20.04.5 │ │ shadow-utils: TOCTOU race conditions by copying and removing │
│ │ │ │ │ │ │ directory trees │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2013-4235 │
│ ├────────────────┤ │ │ ├────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-29383 │ │ │ │ │ shadow: Improper input validation in shadow-utils package │
│ │ │ │ │ │ │ utility chfn │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-29383 │
└──────────────────┴────────────────┴──────────┴──────────┴──────────────────────────┴────────────────────┴──────────────────────────────────────────────────────────────┘
Java (jar)
==========
Total: 50 (UNKNOWN: 0, LOW: 0, MEDIUM: 18, HIGH: 24, CRITICAL: 8)
┌──────────────────────────────────────────────────────────────┬──────────────────┬──────────┬────────┬───────────────────┬─────────────────────────────────────┬──────────────────────────────────────────────────────────────┐
│ Library │ Vulnerability │ Severity │ Status │ Installed Version │ Fixed Version │ Title │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┼────────┼───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ ch.qos.logback:logback-classic (app.jar) │ CVE-2023-6378 │ HIGH │ fixed │ 1.2.6 │ 1.3.12, 1.4.12, 1.2.13 │ logback: serialization vulnerability in logback receiver │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-6378 │
├──────────────────────────────────────────────────────────────┤ │ │ │ │ │ │
│ ch.qos.logback:logback-core (app.jar) │ │ │ │ │ │ │
│ │ │ │ │ │ │ │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2021-42550 │ MEDIUM │ │ │ 1.2.9 │ logback: remote code execution through JNDI call from within │
│ │ │ │ │ │ │ its configuration file... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-42550 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.fasterxml.jackson.core:jackson-databind (app.jar) │ CVE-2020-36518 │ HIGH │ │ 2.12.5 │ 2.13.2.1, 2.12.6.1 │ jackson-databind: denial of service via a large depth of │
│ │ │ │ │ │ │ nested objects │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2020-36518 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2021-46877 │ │ │ │ 2.12.6, 2.13.1 │ jackson-databind: Possible DoS if using JDK serialization to │
│ │ │ │ │ │ │ serialize JsonNode │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-46877 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-42003 │ │ │ │ 2.12.7.1, 2.13.4.2 │ jackson-databind: deep wrapper array nesting wrt │
│ │ │ │ │ │ │ UNWRAP_SINGLE_VALUE_ARRAYS │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-42003 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-42004 │ │ │ │ 2.12.7.1, 2.13.4 │ jackson-databind: use of deeply nested arrays │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-42004 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ com.h2database:h2 (app.jar) │ CVE-2021-42392 │ CRITICAL │ │ 1.4.200 │ 2.0.206 │ h2: Remote Code Execution in Console │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-42392 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-23221 │ │ │ │ 2.1.210 │ h2: Loading of custom classes from remote servers through │
│ │ │ │ │ │ │ JNDI │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-23221 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2021-23463 │ HIGH │ │ │ 2.0.202 │ h2database: XXE injection vulnerability │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-23463 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-45868 │ │ │ │ 2.2.220 │ The web-based admin console in H2 Database Engine before │
│ │ │ │ │ │ │ 2.2.220 can b... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-45868 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.maven:maven-core (app.jar) │ CVE-2021-26291 │ CRITICAL │ │ 3.0 │ 3.8.1 │ maven: Block repositories using http by default │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-26291 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.tomcat.embed:tomcat-embed-core (app.jar) │ CVE-2022-42252 │ HIGH │ │ 9.0.54 │ 8.5.83, 9.0.68, 10.0.27, 10.1.1 │ tomcat: request smuggling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-42252 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-45143 │ │ │ │ 8.5.84, 9.0.69, 10.1.2 │ tomcat: JsonErrorReportValve injection │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-45143 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-24998 │ │ │ │ 10.1.5, 11.0.0-M5, 8.5.88, 9.0.71 │ FileUpload: FileUpload DoS with excessive parts │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-24998 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-46589 │ │ │ │ 11.0.0-M11, 10.1.16, 9.0.83, 8.5.96 │ tomcat: HTTP request smuggling via malformed trailer headers │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-46589 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-34750 │ │ │ │ 11.0.0-M21, 10.1.25, 9.0.90 │ tomcat: Improper Handling of Exceptional Conditions │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-34750 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-41080 │ MEDIUM │ │ │ 8.5.93, 9.0.80, 10.1.13, 11.0.0-M11 │ tomcat: Open Redirect vulnerability in FORM authentication │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-41080 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-42795 │ │ │ │ 11.0.0-M12, 10.1.14, 9.0.81, 8.5.94 │ tomcat: improper cleaning of recycled objects could lead to │
│ │ │ │ │ │ │ information leak │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-42795 │
│ ├──────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-44487 │ │ │ │ │ HTTP/2: Multiple HTTP/2 enabled web servers are vulnerable │
│ │ │ │ │ │ │ to a DDoS attack... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-44487 │
│ ├──────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-45648 │ │ │ │ │ tomcat: incorrectly parsed http trailer headers can cause │
│ │ │ │ │ │ │ request smuggling │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-45648 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-24549 │ │ │ │ 8.5.99, 9.0.86, 10.1.19, 11.0.0-M17 │ Tomcat: HTTP/2 header handling DoS │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-24549 │
├──────────────────────────────────────────────────────────────┼──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.apache.tomcat.embed:tomcat-embed-websocket (app.jar) │ CVE-2024-23672 │ │ │ │ 11.0.0-M17, 10.1.19, 9.0.86, 8.5.99 │ Tomcat: WebSocket DoS with incomplete closing handshake │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-23672 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.codehaus.plexus:plexus-utils (app.jar) │ CVE-2022-4244 │ HIGH │ │ 3.0.22 │ 3.0.24 │ codehaus-plexus: Directory Traversal │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-4244 │
│ ├──────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-4245 │ MEDIUM │ │ │ │ codehaus-plexus: XML External Entity (XXE) Injection │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-4245 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework.boot:spring-boot-autoconfigure (app.jar) │ CVE-2023-20883 │ HIGH │ │ 2.5.6 │ 3.0.7, 2.7.12, 2.6.15, 2.5.15 │ spring-boot: Spring Boot Welcome Page DoS Vulnerability │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-20883 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework.security:spring-security-core (app.jar) │ CVE-2022-22978 │ CRITICAL │ │ 5.5.3 │ 5.5.7, 5.6.4, 5.4.11 │ springframework: Authorization Bypass in RegexRequestMatcher │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22978 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22257 │ HIGH │ │ │ 5.7.12, 5.8.11, 6.1.8, 6.2.3 │ spring-security: Broken Access Control With Direct Use of │
│ │ │ │ │ │ │ AuthenticatedVoter │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22257 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22976 │ MEDIUM │ │ │ 5.5.7, 5.6.4 │ springframework: BCrypt skips salt rounds for work factor of │
│ │ │ │ │ │ │ 31 │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22976 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-beans (app.jar) │ CVE-2022-22965 │ CRITICAL │ │ 5.3.12 │ 5.2.20.RELEASE, 5.3.18 │ spring-framework: RCE via Data Binding on JDK 9+ │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22965 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22970 │ HIGH │ │ │ 5.2.22.RELEASE, 5.3.20 │ springframework: DoS via data binding to multipartFile or │
│ │ │ │ │ │ │ servlet part │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22970 │
├──────────────────────────────────────────────────────────────┼──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-context (app.jar) │ CVE-2022-22968 │ │ │ │ 5.3.19, 5.2.21.RELEASE │ Framework: Data Binding Rules Vulnerability │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22968 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-core (app.jar) │ CVE-2021-22060 │ MEDIUM │ │ │ 5.3.14, 5.2.19 │ springframework: Additional Log Injection in Spring │
│ │ │ │ │ │ │ Framework (follow-up to CVE-2021-22096) │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-22060 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-expression (app.jar) │ CVE-2023-20863 │ HIGH │ │ │ 6.0.8, 5.3.27, 5.2.24.RELEASE │ springframework: Spring Expression DoS Vulnerability │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-20863 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-22950 │ MEDIUM │ │ │ 5.3.17, 5.2.20.RELEASE │ spring-expression: Denial of service via specially crafted │
│ │ │ │ │ │ │ SpEL expression │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22950 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2023-20861 │ │ │ │ 6.0.7, 5.3.26, 5.2.23.RELEASE │ springframework: Spring Expression DoS Vulnerability │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2023-20861 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-38808 │ │ │ │ 5.3.39 │ spring-expression: Denial of service when processing a │
│ │ │ │ │ │ │ specially crafted Spring Expression Language... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-38808 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-web (app.jar) │ CVE-2016-1000027 │ CRITICAL │ │ │ 6.0.0 │ spring: HttpInvokerServiceExporter readRemoteInvocation │
│ │ │ │ │ │ │ method untrusted java deserialization │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2016-1000027 │
│ ├──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22243 │ HIGH │ │ │ 6.1.4, 6.0.17, 5.3.32 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22243 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22259 │ │ │ │ 6.1.5, 6.0.18, 5.3.33 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22259 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2024-22262 │ │ │ │ 5.3.34, 6.0.19, 6.1.6 │ springframework: URL Parsing with Host Validation │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2024-22262 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.springframework:spring-webmvc (app.jar) │ CVE-2022-22965 │ CRITICAL │ │ │ 5.2.20.RELEASE, 5.3.18 │ spring-framework: RCE via Data Binding on JDK 9+ │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-22965 │
├──────────────────────────────────────────────────────────────┼──────────────────┤ │ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.thymeleaf:thymeleaf-spring5 (app.jar) │ CVE-2021-43466 │ │ │ 3.0.12.RELEASE │ 3.0.13.RELEASE │ Template injection in thymeleaf-spring5 │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2021-43466 │
├──────────────────────────────────────────────────────────────┼──────────────────┼──────────┤ ├───────────────────┼─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ org.yaml:snakeyaml (app.jar) │ CVE-2022-1471 │ HIGH │ │ 1.28 │ 2.0 │ SnakeYaml: Constructor Deserialization Remote Code Execution │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-1471 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-25857 │ │ │ │ 1.31 │ snakeyaml: Denial of Service due to missing nested depth │
│ │ │ │ │ │ │ limitation for collections... │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-25857 │
│ ├──────────────────┼──────────┤ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-38749 │ MEDIUM │ │ │ │ snakeyaml: Uncaught exception in │
│ │ │ │ │ │ │ org.yaml.snakeyaml.composer.Composer.composeSequenceNode │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-38749 │
│ ├──────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-38750 │ │ │ │ │ snakeyaml: Uncaught exception in │
│ │ │ │ │ │ │ org.yaml.snakeyaml.constructor.BaseConstructor.constructObj- │
│ │ │ │ │ │ │ ect │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-38750 │
│ ├──────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-38751 │ │ │ │ │ snakeyaml: Uncaught exception in │
│ │ │ │ │ │ │ java.base/java.util.regex.Pattern$Ques.match │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-38751 │
│ ├──────────────────┤ │ │ ├─────────────────────────────────────┼──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-38752 │ │ │ │ 1.32 │ snakeyaml: Uncaught exception in │
│ │ │ │ │ │ │ java.base/java.util.ArrayList.hashCode │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-38752 │
│ ├──────────────────┤ │ │ │ ├──────────────────────────────────────────────────────────────┤
│ │ CVE-2022-41854 │ │ │ │ │ dev-java/snakeyaml: DoS via stack overflow │
│ │ │ │ │ │ │ https://avd.aquasec.com/nvd/cve-2022-41854 │
└──────────────────────────────────────────────────────────────┴──────────────────┴──────────┴────────┴───────────────────┴─────────────────────────────────────┴──────────────────────────────────────────────────────────────┘