VMware Tanzu Spring Cloud: Schwachstelle ermöglicht Offenlegung von Informationen
WID-SEC-2026-0829 · erstmals 24.03.2026 · aktualisiert 24.03.2026 · CVSS 8,6
Worum es geht
VMware Tanzu Spring Cloud ist eine Plattform zur Bereitstellung und Verwaltung von Spring-Anwendungen in Cloud-Umgebungen unter Verwendung von Microservices-Architekturen. Ein entfernter, anonymer Angreifer kann eine Schwachstelle in VMware Tanzu Spring Cloud ausnutzen, um Informationen offenzulegen.
Unter welchen Bedingungen?
Über das Netz und ohne Anmeldung. Das ist die gefährlichste Kombination: Angreifer können erreichbare Geräte automatisiert absuchen.
Was schlimmstenfalls passieren kann
Ein Angreifer könnte die Lücke nutzen, um
- Informationen offenzulegen
Bin ich betroffen?
Betroffen sind laut BSI:
- VMware Tanzu Spring Cloud Config <5.0.2
- VMware Tanzu Spring Cloud Config <4.3.2
- VMware Tanzu Spring Cloud Config <4.2.6
- VMware Tanzu Spring Cloud Config <4.1.9
- VMware Tanzu Spring Cloud Config <3.1.13
Die installierte Version steht meist unter „Hilfe → Über“ oder in der Verwaltungsoberfläche des Geräts.
Was hilft?
Aktualisieren auf mindestens:
- VMware Tanzu Spring Cloud Config 5.0.2
- VMware Tanzu Spring Cloud Config 4.3.2
- VMware Tanzu Spring Cloud Config 4.2.6
- VMware Tanzu Spring Cloud Config 4.1.9
- VMware Tanzu Spring Cloud Config 3.1.13
Wird die Lücke schon ausgenutzt?
Keine der CVEs steht im CISA-Katalog ausgenutzter Lücken. Das heißt nicht, dass es keine Angriffe gibt, nur dass keine belegt sind.
Informationen und Quellen
- Originalmeldung des BSI (WID)
- Spring Security Advisory vom 2026-03-23 spring.io
- Spring Blog vom 2026-03-23 spring.io
CVE: CVE-2026-22739
Quelle: BSI, Warn- und Informationsdienst (CERT-Bund); CISA. Die Einordnung der Bedingungen ist meine Lesart des BSI-Textes; die Fremdseiten sind in ihrer Originalsprache.