De quoi il s’agit

Spring Security ist ein Framework, das Authentifizierung, Autorisierung und Schutz vor gängigen Angriffen bietet. Ein Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Security ausnutzen, um Informationen offenzulegen, Sicherheitsmaßnahmen zu umgehen, sich als Benutzer auszugeben oder Daten zu manipulieren – was möglicherweise eine Privilegieneskalation, SSRF- oder Cross-Site-Scripting-Angriffe ermöglicht.

Dans quelles conditions ?

Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.

Ce qui peut arriver dans le pire des cas

Un attaquant pourrait exploiter la faille pour

• Informationen offenzulegen
• Sicherheitsmaßnahmen zu umgehen
• sich als Benutzer auszugeben oder Daten zu manipulieren – was möglicherweise eine Privilegieneskalation
• SSRF- oder Cross-Site-Scripting-Angriffe ermöglicht

Suis-je concerné ?

Concernés selon le BSI :

• IBM Sterling Connect:Direct
• VMware Tanzu Spring Security <6.5.10
• VMware Tanzu Spring Security <7.0.5
• VMware Tanzu Spring Security <7.1.0-RC1

La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.

Que faire ?

Mettre à jour au moins vers :

• VMware Tanzu Spring Security 6.5.10
• VMware Tanzu Spring Security 7.0.5
• VMware Tanzu Spring Security 7.1.0-RC1

La faille est-elle déjà exploitée ?

Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.