Datenschutz & Sicherheit
VMware Tanzu Spring Security: Angreifer können bösartigen Clients anmelden
Angreifer können insgesamt sieben Sicherheitslücken in VMware Tanzu Spring Security ausnutzen und im schlimmsten Fall eigenen Code ausführen. Mittlerweile sind Sicherheitsupdates verfügbar. Auch wenn es bislang keine Hinweise seitens des Softwareherstellers auf Attacken gibt, sollen Admins die Patches zeitnah installieren.
Weiterlesen nach der Anzeige
Tanzu Spring Security ist ein Authentifizierungs- und Zugriffskontroll-Framework, um den Umgang mit Spring-basierten Anwendungen so sicher wie möglich zu gestalten. Nun wird es aber selbst zum Sicherheitsrisiko.
Verschiedene Gefahren
Am gefährlichsten gilt einer Warnmeldung zufolge eine „kritische“ Schwachstelle (CVE-2026-22752) im Rahmen der Dynamic Client Registration. Weil Metadatenfelder bei der Registrierung eines neuen Clients nicht ausreichend überprüft werden, können Angreifer dort einen Exploit platzieren. Dafür müssen sie aber bereits über einen gültigen Initial Access Token verfügen. Klappt eine Attacke, können Angreifer einen unter ihrer Kontrolle stehenden Client registrieren und unter anderem im Rahmen einer Stored-XSS-Attacken Schadcode ausführen.
Zwei weitere Lücken sind mit dem Bedrohungsgrad „hoch“ eingestuft (CVE-2026-22754, CVE-2026-22753). Weil Angreifer Anfragen an Pfade, die eigentlich geschützt sein sollten, schicken können, sind Sicherheitsmechanismen umgehbar.
Sicherheitspatches installieren
Die Entwickler versichern, die Sicherheitsprobleme in der Tanzu-Spring-Security-Ausgabe 7.0.5 und Spring Authorization Server 1.3.11, 1.4.10 und 1.5.7 gelöst zu haben.
Weitere Details zu den Softwareschwachstellen und bedrohten und abgesicherten Versionen finden Admins im Sicherheitsbereich der VMware-Tanzu-Website.
Weiterlesen nach der Anzeige
(des)