Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] VMware opravuje 1 zraniteľnosť v Spring Cloud Gateway

VMware verziami 4.3.1, 4.2.5, 4.1.11 a 3.1.11 opravuje 1 zraniteľnosť nachádzajúcu sa v Spring Cloud Gateway [1].

Spring Cloud Gateway - modifikácia vlastností Spring Environment (CVE-2025-41243)
CVSS 10.0 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok umožnené manipulovať s citlivými vlastnosťami Spring Environment a potenciálne spustiť kód [1]. Aplikácia je zraniteľná, ak súčasne platí, že používa Spring Cloud Gateway Server WebFlux, obsahuje Spring Boot Actuator, webový koncový bod pre Spring Cloud Gateway Server WebFlux Actuator je povolený cez management.endpoints.web.exposure.include=gateway a koncové body Actuator sú dostupné a nezabezpečené [1].

Zraniteľnosť sa nachádza v produkte:

  • *:Spring Cloud Gateway; =4.3.0; >=4.2.0, <=4.2.4; >=4.1.0, <=4.1.10; >=4.0.0, <4.1.11; >=3.1.0, <=3.1.10

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-41243 na cve.org, NVD
  • CWE-917: Improper Neutralization of Special Elements used in an Expression Language Statement ('Expression Language Injection') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 8. 9. 2025.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 23. 9. 2025.

CESNET, z.s.p.o. Logo