Spring Security – Autorisierungs-Bypass durch fehlerhafte Annotationserkennung (CVE-2025-22223)

Am 19. März 2025 wurde eine mittelschwere Sicherheitslücke (CVE-2025-22223, CVSS 5.3) in Spring Security veröffentlicht. Die Lücke betrifft Anwendungen, die @EnableMethodSecurity nutzen und Methoden mit Sicherheitsannotationen auf parametrisierten Typen oder geerbten Methoden versehen haben – ohne direkte Annotation auf der Zielmethode. In diesem Fall kann es zu einem Autorisierungs-Bypass kommen. Betroffen ist Spring Security 6.4.0 – 6.4.3. Ein Update auf 6.4.4 wird empfohlen.

Workaround: Annotationen direkt auf Zielmethoden setzen oder einen benutzerdefinierten AuthorizationManagerBeforeMethodInterceptor implementieren.

Tags :

Related Posts

Ruby: Remote Code Execution beim Laden eines manipulierten GraphQL-Schemas

Ein kritischer Sicherheitsfehler im RubyGems-Paket graphql wurde von rmosolgo vor 5 Tagen unter der Kennung GHSA-q92j-grw3-h492 veröffentlicht. Die Schwachstelle betrifft alle Versionen größer als 1.11.5 und ermöglicht es einem Angreifer, beim Laden eines speziell präparierten GraphQL-Schemas beliebigen Code remote auszuführen.

Read More

PHP 8: HTTP-Wrapper Schwachstellen erlauben HTTP Request Smuggling

PHP ist aktuell von zwei moderaten Schwachstellen betroffen, die die Verarbeitung von HTTP-Headern und Redirect-URIs in den internen Stream-Wrappern beeinträchtigen. Beide Probleme wurden in Versionen vor 8.1.32, 8.2.28, 8.3.18 und 8.4.5 festgestellt und in den folgenden Versionen behoben.

Read More

CVE-2024-10441 – Remote Code Execution in Synology-Produkten

Eine kritische Sicherheitslücke (CVE-2024-10441) wurde in mehreren Synology-NAS Produkten entdeckt. Die Schwachstelle beruht auf unzureichendem Encoding bzw. Escaping von Ausgaben im System-Plugin-Daemon, was es Angreifern ermöglicht, per Remote Code Execution beliebigen Code auszuführen. Betroffen sind Synology DiskStation Manager (DSM), Unified Controller (DSMUC) und BeeStation Manager (BSM) in älteren Versionen – beispielsweise DSM vor 7.2.2‑72806‑1, DSMUC vor 3.1.4‑23079 und BSM vor 1.1‑65374. Mit einem CVSS v3.1 Basis-Score von 9.8 ist diese Schwachstelle als kritisch einzustufen. Nutzer werden dringend aufgefordert, ihre Systeme auf die entsprechenden Fix-Versionen zu aktualisieren.

Read More