Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] VMware opravuje 3 zraniteľnosti vo svojich produktoch

VMware opravuje 3 zraniteľnosti v produktoch Spring Boot, Spring Security a Spring Cloud Config. Produkty a ich opravy: Spring Boot - 2.7.25, 3.1.16, 3.2.14, 3.3.11, 3.4.5 [1] Spring Security - 5.7.17, 5.8.19, 6.0.17, 6.1.15, 6.2.11, 6.3.9, 6.4.5 [2] Spring Cloud Config - 4.2.2, 4.1.6, 4.0.10, 3.1.10, 4.1.6, 4.1.6 [3]

VMware Spring Boot - improper input validation (CVE-2025-22235)
CVSS 7.3 (High)

Neautentifikovanému vzdialenému útočníkovi je z dôvodu chybnej konfigurácie EndpointRequest.to() v Spring Boot umožnené pristupovať k nechránenej ceste /null, ak je referencovaný endpoint zakázaný alebo nie je vystavený, čo môže viesť k neoprávnenému prístupu [1].

Zraniteľnosť sa nachádza v produkte:

  • Spring Boot; >=2.7.0, <=2.7.24.2; >=3.1.0, <=3.1.15.2; >=3.2.0, <=3.2.13.2; >=3.3.0, <=3.3.10; >=3.4.0, <=3.4.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L

Viac informácií:

Zraniteľnosť bola verejne oznámená 24. 4. 2025.

VMware Spring Security - improper access control (CVE-2025-22234)
CVSS 5.3 (Medium)

Neautentifikovanému vzdialenému útočníkovi je z dôvodu chybnej mitigácie časových útokov v komponente DaoAuthenticationProvider v Spring Security umožnené odhaliť, či zadané heslo patrí existujúcemu používateľskému účtu [2].

Zraniteľnosť sa nachádza v produkte:

  • *:Spring Security; =5.7.16; =5.8.18; =6.0.16; =6.1.14; =6.2.10; =6.3.8; =6.4.4

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 22. 4. 2025.

VMware Spring Cloud Config - improper authentication (CVE-2025-22232)
CVSS 5.3 (Medium)

Neautentifikovanému vzdialenému útočníkovi je z dôvodu nesprávneho zaobchádzania s Vault tokenmi v Spring Cloud Config Serveri umožnené neoprávnene získať prístup k citlivým konfiguračným dátam iných klientov [3].

Zraniteľnosť sa nachádza v produkte:

  • *:Spring Cloud Config; >=2.2.0, <=4.2.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 7. 4. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 30. 4. 2025.

CESNET, z.s.p.o. Logo