Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] VMware opravuje zraniteľnosti v Spring Security a Spring Framework
VMware opravuje 2 zraniteľnosti v produktoch Spring Security [1] a Spring Framework [2]. Produkty a ich opravy: Spring Security - 6.4.6 [1] Spring Framework - 6.2.7, 6.1.20, 6.0.28, 5.3.43 [2]
Neautentizovanému vzdialenému útočníkovi je z dôvodu chybného spracovania bezpečnostných anotácií na privátnych metódach pri použití '@EnableMethodSecurity(mode=ASPECTJ)' a modulu 'spring-security-aspects' umožnené obísť autorizáciu a volať tieto metódy bez oprávnenia [1].
Zraniteľnosť sa nachádza v produkte:
- *:Spring Security; >=6.4.0, <=6.4.5
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2025-41232 na cve.org, NVD
- CWE-693: Protection Mechanism Failure na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 5. 2025.
Autentizovanému vzdialenému útočníkovi je z dôvodu neúplnej ochrany pri kontrole 'disallowedFields', aj napriek zavedeniu prevodu na malé písmená nezávislého od lokality, umožnené obísť túto kontrolu a potenciálne manipulovať s hodnotami, ktoré mali byť zakázané [2].
Zraniteľnosť sa nachádza v produkte:
- *:Spring Framework; >=6.2.0, <=6.2.6; >=6.1.0, <=6.1.19; >=6.0.0, <=6.0.27; >=5.3.0, <=5.3.42
CVSS: CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2025-22233 na cve.org, NVD
- CWE-20: Improper Input Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 16. 5. 2025.
Za CESNET, z.s.p.o. Michaela Jarošová dňa 21. 5. 2025.