VMware Tanzu Spring Security: Mehrere Schwachstellen
WID-SEC-2026-1869 · première publication 10.06.2026 · mise à jour 01.09.2026 · CVSS 7,6
De quoi il s’agit
Spring Security ist ein Framework, das Authentifizierung, Autorisierung und Schutz vor gängigen Angriffen bietet. Ein entfernter, anonymer Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Security ausnutzen, um einen Denial of Service zu verursachen, beliebigen Code auszuführen, Benutzer auf beliebige Websites umzuleiten, Informationen offenzulegen und die Identität eines anderen Benutzers anzunehmen.
Dans quelles conditions ?
Par le réseau et sans authentification. C’est la combinaison la plus dangereuse : les attaquants peuvent rechercher automatiquement les appareils accessibles.
Ce qui peut arriver dans le pire des cas
Un attaquant pourrait exploiter la faille pour
- einen Denial of Service zu verursachen
- beliebigen Code auszuführen
- Benutzer auf beliebige Websites umzuleiten
- Informationen offenzulegen
- die Identität eines anderen Benutzers anzunehmen
Suis-je concerné ?
Concernés selon le BSI :
- IBM Operational Decision Manager
- VMware Tanzu Spring Security <5.7.24
- VMware Tanzu Spring Security <5.8.26
- VMware Tanzu Spring Security <6.5.11
- VMware Tanzu Spring Security <6.4.17
- VMware Tanzu Spring Security <6.3.17
- VMware Tanzu Spring Security <7.0.6
- VMware Tanzu Spring Security <5.7.25
- VMware Tanzu Spring Security <5.8.27
- VMware Tanzu Spring Security <6.3.18
- VMware Tanzu Spring Security <6.4.18
- Dell Secure Connect Gateway <5.36.00.16
La version installée figure généralement sous « Aide → À propos » ou dans l’interface d’administration de l’appareil.
Que faire ?
Mettre à jour au moins vers :
- VMware Tanzu Spring Security 5.7.24
- VMware Tanzu Spring Security 5.8.26
- VMware Tanzu Spring Security 6.5.11
- VMware Tanzu Spring Security 6.4.17
- VMware Tanzu Spring Security 6.3.17
- VMware Tanzu Spring Security 7.0.6
- VMware Tanzu Spring Security 5.7.25
- VMware Tanzu Spring Security 5.8.27
- VMware Tanzu Spring Security 6.3.18
- VMware Tanzu Spring Security 6.4.18
- Dell Secure Connect Gateway 5.36.00.16
La faille est-elle déjà exploitée ?
Aucune des CVE ne figure dans le catalogue de la CISA des failles exploitées. Cela ne signifie pas qu’il n’y a pas d’attaques, seulement qu’aucune n’est attestée.
Informations et sources
- Avis original du BSI (WID)
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- Spring Security Advisories vom 2026-06-09 spring.io
- IBM Security Bulletin 7283059 vom 2026-08-10 www.ibm.com
- Dell Security Advisory DSA-2026-385 vom 2026-08-31 www.dell.com
CVE: CVE-2026-40988, CVE-2026-40993, CVE-2026-41003, CVE-2026-41008, CVE-2026-41694, CVE-2026-41706, CVE-2026-47838
Source : BSI, service d’alerte et d’information (CERT-Bund) ; CISA. L’évaluation des conditions est ma lecture du texte du BSI ; les pages externes sont dans leur langue d’origine.