Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] VMware Spring Security opravuje dve zraniteľnosti
VMware verziami 5.7.16, 5.8.18, 6.0.16, 6.1.14, 6.2.10, 6.3.8 a 6.4.4 opravuje dve zraniteľnosti v produkte Spring Security [1][2].
Neautentizovanému vzdialenému útočníkovi je umožnené obísť overenie hesla v nástroji využívajúcom BCryptPasswordEncoder.matches(CharSequence, String), ak zadané heslo presahuje 72 znakov a prvých 72 znakov sa zhoduje [1].
Zraniteľnosť sa nachádza v produkte:
- *:Spring Security; >=5.7.0, <=5.7.15; >=5.8.0, <=5.8.17; >=6.0.0, <=6.0.15; >=6.1.0, <=6.1.13; >=6.2.0, <=6.2.9; >=6.3.0, <=6.3.7; >=6.4.0, <=6.4.3
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2025-22228 na cve.org, NVD
- CWE-287: Improper Authentication na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2025.
Neautentizovanému vzdialenému útočníkovi je umožnené obísť autorizáciu v Spring Security a volať chránené metódy, ak aplikácia používa @EnableMethodSecurity a bezpečnostné anotácie nie sú priamo aplikované na cieľové metódy [2].
Zraniteľnosť sa nachádza v produkte:
- *:Spring Security; >=6.4.0, <=6.4.3
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Viac informácií:
- CVE-2025-22223 na cve.org, NVD
- CWE-281: Improper Preservation of Permissions na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 21. 3. 2025.