VMware Tanzu Spring Boot: Mehrere Schwachstellen
WID-SEC-2026-1263 · première publication 24.04.2026 · mise à jour 29.06.2026 · CVSS 9,1
De quoi il s’agit
Spring Boot ist ein Framework zur Entwicklung von Java Anwendungen. Spring Boot basiert auf dem Spring Framework. Ein Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Boot ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern.
Dans quelles conditions ?
Le BSI ne mentionne aucune condition particulière. Exploitable à distance selon le BSI.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- beliebigen Programmcode auszuführen
- Sicherheitsmaßnahmen zu umgehen
- vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern
Suis-je concerné ?
Concernés selon le BSI :
- Red Hat Enterprise Linux
- IBM InfoSphere Information Server
- Red Hat Enterprise Linux Apache Camel for Spring Boot
- IBM Sterling Connect:Direct
- VMware Tanzu Spring Boot <3.5.14
- VMware Tanzu Spring Boot <4.0.6
- HCL Commerce 9.1.0-9.1.19.0
- Red Hat OpenShift Dev Spaces <3.28.0
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- VMware Tanzu Spring Boot 3.5.14
- VMware Tanzu Spring Boot 4.0.6
- Red Hat OpenShift Dev Spaces 3.28.0
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Spring Blog vom 2026-04-23 spring.io
- Spring Blog vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- Spring Security Advisories vom 2026-04-23 spring.io
- HCL Security Bulletin vom 2026-05-12 support.hcl-software.com
- Red Hat Security Advisory RHSA-2026:17668 vom 2026-05-14 access.redhat.com
- Red Hat Security Advisory RHSA-2026:21772 vom 2026-05-29 access.redhat.com
- Red Hat Security Advisory RHSA-2026:22619 vom 2026-06-02 access.redhat.com
- IBM Security Bulletin 7275305 vom 2026-06-06 www.ibm.com
- Red Hat Security Advisory RHSA-2026:25089 vom 2026-06-10 access.redhat.com
- IBM Security Bulletin 7278211 vom 2026-06-26 www.ibm.com
CVE: CVE-2026-40970, CVE-2026-40971, CVE-2026-40972, CVE-2026-40973, CVE-2026-40974, CVE-2026-40975, CVE-2026-40976, CVE-2026-40977
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.