[TLP:CLEAR] VMware opravuje 3 zranitelnosti ve svých produktech

VMware opravuje 3 zranitelnosti v produktech Spring Boot, Spring Security a Spring Cloud Config. Produkty a jejich opravy: Spring Boot - 2.7.25, 3.1.16, 3.2.14, 3.3.11, 3.4.5 [1] Spring Security - 5.7.17, 5.8.19, 6.0.17, 6.1.15, 6.2.11, 6.3.9, 6.4.5 [2] Spring Cloud Config - 4.2.2, 4.1.6, 4.0.10, 3.1.10, 4.1.6, 4.1.6 [3]

VMware Spring Boot - improper input validation (CVE-2025-22235)
CVSS 7.3 (High)

Neautentizovanému vzdálenému útočníkovi je kvůli chybné konfiguraci EndpointRequest.to() ve Spring Boot umožněno přistupovat k nechráněné cestě /null, pokud je referencovaný endpoint zakázán nebo není vystaven, což může vést k neoprávněnému přístupu [1].

Zranitelnost se nachází v produktu:

  • Spring Boot; >=2.7.0, <=2.7.24.2; >=3.1.0, <=3.1.15.2; >=3.2.0, <=3.2.13.2; >=3.3.0, <=3.3.10; >=3.4.0, <=3.4.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Více informací:

Zranitelnost byla veřejně oznámena 24. 4. 2025.

VMware Spring Security - improper access control (CVE-2025-22234)
CVSS 5.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je kvůli chybné mitigaci časových útoků v komponentě DaoAuthenticationProvider ve Spring Security umožněno odhalit, zda zadané heslo patří existujícímu uživatelskému účtu [2].

Zranitelnost se nachází v produktu:

  • *:Spring Security; =5.7.16; =5.8.18; =6.0.16; =6.1.14; =6.2.10; =6.3.8; =6.4.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 22. 4. 2025.

VMware Spring Cloud Config - improper authentication (CVE-2025-22232)
CVSS 5.3 (Medium)

Neautentizovanému vzdálenému útočníkovi je kvůli nesprávnému zacházení s Vault tokeny ve Spring Cloud Config Serveru umožněno neoprávněně získat přístup k citlivým konfiguračním datům jiných klientů [3].

Zranitelnost se nachází v produktu:

  • *:Spring Cloud Config; >=2.2.0, <=4.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Více informací:

Zranitelnost byla veřejně oznámena 7. 4. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dne 30. 4. 2025.

CESNET, z.s.p.o. Logo