Impatto Sistemico

Alto (65.89)

Sintesi

Aggiornamenti di sicurezza risolvono diverse nuove vulnerabilità, di cui una con gravità “critica” e 13 con gravità “alta”, in Spring, noto framework open‑source Java per lo sviluppo di applicazioni enterprise.

Tipologia

• Security Feature Bypass
• Authentication Bypass
• Tampering
• Spoofing
• Information Disclosure
• Elevation of Privilege
• Remote Code Execution
• Denial of Service

Prodotti e/o versioni affette

Spring Security

• versione 7.1.0
• 7.0.x, versione 7.0.6 e precedenti
• 6.5.x, versione 6.5.11 e precedenti
• 6.4.x, versione 6.4.18 e precedenti
• 5.8.x, versione 5.8.27 e precedenti
• 5.7.x, versione 5.7.25 e precedenti

Spring Cloud Config

• 5.0.x, versione 5.0.4 e precedenti
• 4.3.x, versione 4.3.4 e precedenti
• 4.0.x, versione 4.2.8 e precedenti
• versione 3.1.14 e precedenti

Spring Cloud Gateway

• 5.0.x, versione 5.0.2 e precedenti
• 4.3.x, versione 4.3.5 e precedenti
• 4.0.x, versione 4.2.9 e precedenti
• versione 3.1.13 e precedenti

Spring Cloud Commons

• 5.0.x, versione 5.0.2 e precedenti
• 4.3.x, versione 4.3.3 e precedenti
• 4.0.x, versione 4.2.6 e precedenti
• versione 3.1.10 e precedenti

Spring for GraphQL

• 2.0.x, versione 2.0.4 e precedenti
• 1.4.x, versione 1.4.6 e precedenti
• 1.1.x, versione 1.3.9 e precedenti
• 1.0.x, versione 1.0.7 e precedenti

Spring Integration

• versione 7.1.0
• 7.0.x, versione 7.0.5 e precedenti
• 6.5.x, versione 6.5.10 e precedenti
• 6.4.x, versione 6.4.12 e precedenti
• versione 5.5.21 e precedenti

Spring Authorization Server

• 1.5.x, versione 1.5.8 e precedenti
• 1.4.x, versione 1.4.11 e precedenti

Azioni di mitigazione

In linea con le dichiarazioni del vendor, si raccomanda di aggiornare i prodotti vulnerabili seguendo le indicazioni del bollettino di sicurezza riportato nella sezione Riferimenti.

Di seguito sono riportate le sole CVE relative alle vulnerabilità con gravità “critica” e “alta”: