VMware opravuje zranitelnosti ve Spring Security a Spring Framework

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] VMware opravuje zranitelnosti ve Spring Security a Spring Framework

VMware opravuje 2 zranitelnosti v produktech Spring Security [1] a Spring Framework [2]. Produkty a jejich opravy: Spring Security - 6.4.6 [1] Spring Framework - 6.2.7, 6.1.20, 6.0.28, 5.3.43 [2]

VMware Spring Security - authorization bypass (CVE-2025-41232)

CVSS 9.1 (Critical)

Neautentizovanému vzdálenému útočníkovi je kvůli chybnému zpracování bezpečnostních anotací na privátních metodách při použití '@EnableMethodSecurity(mode=ASPECTJ)' a modulu 'spring-security-aspects' umožněno obejít autorizaci a volat tyto metody bez oprávnění [1].

Zranitelnost se nachází v produktu:

*:Spring Security; >=6.4.0, <=6.4.5

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

Více informací:

CVE-2025-41232 na cve.org, NVD
CWE-693: Protection Mechanism Failure na cwe.mitre.org

Zranitelnost byla veřejně oznámena 19. 5. 2025.

VMware Spring Framework - sensitive match exception (CVE-2025-22233)

CVSS 3.1 (Low)

Autentizovanému vzdálenému útočníkovi je kvůli neúplné ochraně při kontrole 'disallowedFields', i přes zavedení převodu na malá písmena nezávislého na lokalitě, umožněno obejít tuto kontrolu a potenciálně manipulovat s hodnotami, které měly být zakázány [2].

Zranitelnost se nachází v produktu:

*:Spring Framework; >=6.2.0, <=6.2.6; >=6.1.0, <=6.1.19; >=6.0.0, <=6.0.27; >=5.3.0, <=5.3.42

CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N

Více informací:

CVE-2025-22233 na cve.org, NVD
CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 16. 5. 2025.

Odkazy

Za CESNET, z.s.p.o. Michaela Jarošová dne 21. 5. 2025.