Spring-Security: Authorisation Bypass Sicherheitslücke CVE-2025-41232

Spring Security hat kürzlich eine Sicherheitslücke identifiziert, die eine unberechtigte Autorisierung ermöglichen kann. Die Schwachstelle CVE-2025-41232 betrifft speziell die Methode zur Absicherung privater Methoden mithilfe der Annotationen in Verbindung mit AspectJ.

Betroffen sind Anwendungen, die Spring Security Versionen 6.4.0 bis einschließlich 6.4.5 nutzen und gleichzeitig die Annotation @EnableMethodSecurity(mode=ASPECTJ) zusammen mit spring-security-aspects verwenden. In diesen Fällen können private Methoden mit Sicherheitsannotations möglicherweise unautorisiert aufgerufen werden.

Spring empfiehlt Nutzern der betroffenen Versionen dringend, auf die sichere Version 6.4.6 zu aktualisieren. Weitere Maßnahmen oder Workarounds sind nicht notwendig.

Tags :

Related Posts

Kritische Spoofing Schwachstelle in Azure Storage Resource Provider aufgetaucht

Am 8. Mai 2025 wurde CVE-2025-29972 veröffentlicht, eine kritische Spoofing-Schwachstelle im Azure Storage Resource Provider (SRP). Die als SSRF (Server-Side Request Forgery, CWE-918) klassifizierte Lücke trägt die maximale CVSS-Bewertung von 9,9 bzw. 8,9 und erlaubt Angreifern bei niedrigen Rechten und ohne Nutzerinteraktion, beliebige Anfragen im Namen des Dienstes auszuführen. Microsoft hat das Problem bereits vollständig behoben, sodass für Kund:innen kein Handlungsbedarf besteht. Die Koordinierte Offenlegung wurde von Stav Nir und G1ND1L4 (beide Microsoft) unterstützt und bestätigt. Weitere Details finden Interessierte auf der CVE-Eintragseite CVE-2025-29972 und in den Microsoft-Lebenszyklusinformationen.

Read More

Path Traversal Schwachstelle in VMWare Cloud Foundation gefixt

VMware hat Sicherheitsupdate für VMware Cloud Foundation veröffentlicht, das mehrere kritische Schwachstellen adressiert. Laut der Sicherheitsmeldung VMSA-2025-0009 umfassen die behobenen Probleme drei CVEs mit Schweregraden zwischen 7.3 und 8.2 (CVSSv3 Scores).

Read More

Ivanti patcht kritische Lücke CVE-2025-22462 in Ivanti Neurons for ITSM

Ivanti hat am 13. Mai 2025 ein kritisches Sicherheitsupdate für „Ivanti Neurons for ITSM (On-Premises Only)“ veröffentlicht. Die Lücke CVE-2025-22462 (CWE-288) erlaubt einem nicht authentifizierten Angreifer, bei fehlerhafter Konfiguration Administratorrechte zu erlangen (CVSS 9.8 – kritisch; Environmental Score 6.9 – mittel). Betroffen sind die Versionen 2023.4, 2024.2 und 2024.3; je ein „May 2025 Security Patch“ steht über das Ivanti-Downloadportal bereit. Ivanti empfiehlt, den Patch umgehend einzuspielen und den Zugriff auf die IIS-Instanz netzwerkseitig (IP-Whitelist, DMZ) einzuschränken, um das Risiko weiter zu minimieren. Bislang sind keine Ausnutzungen in Kundenumgebungen bekannt.

Read More