VMware Tanzu Spring Boot: Mehrere Schwachstellen
WID-SEC-2026-1263 · primera publicación 24.04.2026 · actualizado 29.06.2026 · CVSS 9,1
De qué se trata
Spring Boot ist ein Framework zur Entwicklung von Java Anwendungen. Spring Boot basiert auf dem Spring Framework. Ein Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Boot ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- beliebigen Programmcode auszuführen
- Sicherheitsmaßnahmen zu umgehen
- vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern
¿Me afecta?
Afectados según el BSI:
- Red Hat Enterprise Linux
- IBM InfoSphere Information Server
- Red Hat Enterprise Linux Apache Camel for Spring Boot
- IBM Sterling Connect:Direct
- VMware Tanzu Spring Boot <3.5.14
- VMware Tanzu Spring Boot <4.0.6
- HCL Commerce 9.1.0-9.1.19.0
- Red Hat OpenShift Dev Spaces <3.28.0
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- VMware Tanzu Spring Boot 3.5.14
- VMware Tanzu Spring Boot 4.0.6
- Red Hat OpenShift Dev Spaces 3.28.0
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- Spring Blog vom 2026-04-23 spring.io
- Spring Blog vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- HCL Security Bulletin vom 2026-05-12 support.hcl-software.com
- Red Hat Security Advisory RHSA-2026:17668 vom 2026-05-14 access.redhat.com
- Red Hat Security Advisory RHSA-2026:21772 vom 2026-05-29 access.redhat.com
- Red Hat Security Advisory RHSA-2026:22619 vom 2026-06-02 access.redhat.com
- IBM Security Bulletin 7275305 vom 2026-06-06 www.ibm.com
- Red Hat Security Advisory RHSA-2026:25089 vom 2026-06-10 access.redhat.com
- IBM Security Bulletin 7278211 vom 2026-06-26 www.ibm.com
CVE: CVE-2026-40970, CVE-2026-40971, CVE-2026-40972, CVE-2026-40973, CVE-2026-40974, CVE-2026-40975, CVE-2026-40976, CVE-2026-40977
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.