[TLP:CLEAR] VMware opravuje 3 zranitelnosti ve svých produktech
VMware opravuje 3 zranitelnosti v produktech Spring Boot, Spring Security a Spring Cloud Config. Produkty a jejich opravy: Spring Boot - 2.7.25, 3.1.16, 3.2.14, 3.3.11, 3.4.5 [1] Spring Security - 5.7.17, 5.8.19, 6.0.17, 6.1.15, 6.2.11, 6.3.9, 6.4.5 [2] Spring Cloud Config - 4.2.2, 4.1.6, 4.0.10, 3.1.10, 4.1.6, 4.1.6 [3]
Neautentizovanému vzdálenému útočníkovi je kvůli chybné konfiguraci EndpointRequest.to() ve Spring Boot umožněno přistupovat k nechráněné cestě /null, pokud je referencovaný endpoint zakázán nebo není vystaven, což může vést k neoprávněnému přístupu [1].
Zranitelnost se nachází v produktu Spring Boot ve verzích (>=2.7.0 AND <=2.7.24.2) OR (>=3.1.0 AND <=3.1.15.2) OR (>=3.2.0 AND <=3.2.13.2) OR (>=3.3.0 AND <=3.3.10) OR (>=3.4.0 AND <=3.4.4).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
Více informací:
- CVE-2025-22235 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-20: Improper Input Validation at cwe.mitre.org
Zranitelnost byla veřejně oznámena 24. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli chybné mitigaci časových útoků v komponentě DaoAuthenticationProvider ve Spring Security umožněno odhalit, zda zadané heslo patří existujícímu uživatelskému účtu [2].
Zranitelnost se nachází v produktu Spring Security ve verzích (=5.7.16) OR (=5.8.18) OR (=6.0.16) OR (=6.1.14) OR (=6.2.10) OR (=6.3.8) OR (=6.4.4).
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-22234 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-284: Improper Access Control at cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 4. 2025.
Neautentizovanému vzdálenému útočníkovi je kvůli nesprávnému zacházení s Vault tokeny ve Spring Cloud Config Serveru umožněno neoprávněně získat přístup k citlivým konfiguračním datům jiných klientů [3].
Zranitelnost se nachází v produktu Spring Cloud Config ve verzích >=2.2.0 AND <=4.2.1.
CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
Více informací:
- CVE-2025-22232 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-287: Improper Authentication at cwe.mitre.org
Zranitelnost byla veřejně oznámena 7. 4. 2025.
Odkazy
Za CESNET-CERTS Michaela Jarošová dne 30. 4. 2025.
