Spring Security – Autorisierungs-Bypass durch fehlerhafte Annotationserkennung (CVE-2025-22223)

Am 19. März 2025 wurde eine mittelschwere Sicherheitslücke (CVE-2025-22223, CVSS 5.3) in Spring Security veröffentlicht. Die Lücke betrifft Anwendungen, die @EnableMethodSecurity nutzen und Methoden mit Sicherheitsannotationen auf parametrisierten Typen oder geerbten Methoden versehen haben – ohne direkte Annotation auf der Zielmethode. In diesem Fall kann es zu einem Autorisierungs-Bypass kommen. Betroffen ist Spring Security 6.4.0 – 6.4.3. Ein Update auf 6.4.4 wird empfohlen.

Workaround: Annotationen direkt auf Zielmethoden setzen oder einen benutzerdefinierten AuthorizationManagerBeforeMethodInterceptor implementieren.

Tags :

Related Posts

Laravel Reflected XSS via Route- und Request-Parameter in Debug-Mode Error Page

Der beliebte PHP Framework Laravel ist in den Versionen zwischen 11.9.0 und 11.35.1 von zwei kritischen Reflected Cross-Site Scripting (XSS)-Schwachstellen betroffen. Beide Schwachstellen treten im Debug-Modus (APP_DEBUG=true) auf, wenn ein HTTP-Fehler (5XX) generiert wird. Dabei werden entweder Route-Parameter oder Request-Parameter unzureichend encoded und direkt in die Fehlerseite eingebettet, was es Angreifern ermöglicht, schadhaften JavaScript-Code in den Browser des Benutzers einzuschleusen.

Read More

VMware-VM-Exploits führen zu Hypervisor-Kontrolle und Ransomware-Angriffen

Am 19. März 2025 veröffentlichte Sicherheitsexperte Nital Ruzin eine brisante Analyse zu aktiven Angriffen auf VMware-Umgebungen. Die Ausnutzung dreier kritischer Schwachstellen (CVE-2025-22224, -22225, -22226) ermöglicht sogenannten VM Escapes, bei denen Angreifer aus einer kompromittierten virtuellen Maschine ausbrechen und Kontrolle über den Hypervisor (ESXi) erlangen – eine Eintrittskarte für die großflächige Ransomware-Verteilung.

Read More

CVE-2024-10441 – Remote Code Execution in Synology-Produkten

Eine kritische Sicherheitslücke (CVE-2024-10441) wurde in mehreren Synology-NAS Produkten entdeckt. Die Schwachstelle beruht auf unzureichendem Encoding bzw. Escaping von Ausgaben im System-Plugin-Daemon, was es Angreifern ermöglicht, per Remote Code Execution beliebigen Code auszuführen. Betroffen sind Synology DiskStation Manager (DSM), Unified Controller (DSMUC) und BeeStation Manager (BSM) in älteren Versionen – beispielsweise DSM vor 7.2.2‑72806‑1, DSMUC vor 3.1.4‑23079 und BSM vor 1.1‑65374. Mit einem CVSS v3.1 Basis-Score von 9.8 ist diese Schwachstelle als kritisch einzustufen. Nutzer werden dringend aufgefordert, ihre Systeme auf die entsprechenden Fix-Versionen zu aktualisieren.

Read More