22228

1. Betroffenes Produkt:^Spring® Security
2. Betroffene Pakete: spring-security-crypto
3. Betroffene Versionen:
   - 5.6.12 und älter
   - 5.7.0 - 5.7.15
   - 5.8.0 - 5.8.17
   - 6.0.0 - 6.0.15
   - 6.1.0 - 6.1.13
   - 6.2.0 - 6.2.9
   - 6.3.0 - 6.3.7
   - 6.4.0 - 6.4.3
4. GitHub-Repository:
   - https://github.com/spring-projects/spring-security
5. Veröffentlichte Pakete:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
6. Behoben in:ELS für^Spring® Security v5.8.16. TuxCare

BCrypt-gehashte Passwörter haben eine maximale Länge von 72 Zeichen. Die Funktion hashpw in der BCrypt-Klasse von spring-security-crypto hasht nur die ersten 72 Zeichen eines Passworts. Jedes Passwort, das länger ist, wird nur anhand der ersten 72 Zeichen überprüft.

Nach der Anwendung des Patches müssen bestehende Kennwörter mit mehr als 72 Zeichen zurückgesetzt werden, damit sie ordnungsgemäß funktionieren, da sich ein Benutzer mit einem solchen Kennwort einfach nicht anmelden kann. Neue Passwörter mit einer Länge von mehr als 72 Zeichen werden nicht akzeptiert.

Mit dem nachstehenden Test (Dank: Joe Grandja) können wir diese Schwachstelle testen.

@Test
   public void enforcePasswordLength() {
       BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
       String password72chars = "123456789012345678901234567890123456789012345678901234567890123456789012";
       assertThat(encoder.matches(password72chars, encoder.encode(password72chars))).isTrue();
       String password73chars = password72chars.concat("a");
       assertThatIllegalArgumentException()
           .isThrownBy(() -> encoder.matches(password73chars, encoder.encode(password73chars)));
   }

^Spring® Security 5.8.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 31.12.2023 ist. Das bedeutet einfach, dass Versionen ab diesem Datum keine Updates mehr erhalten, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

• Nutzen Sie den Endless Lifecycle Support von TuxCare, der den regulären EOL-Sicherheitssupport der Community erweitert.
• Alternativ können Sie ein Upgrade auf die neueren, weiterhin unterstützten Open-Source-Versionen^{von Spring®} Security durchführen, in denen die Korrektur bereits integriert ist: 6.3.8 oder 6.4.4.

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Security-Version? Bitte kontaktieren Sie uns, wir helfen Ihnen gerne weiter!

• https://nvd.nist.gov/vuln/detail/CVE-2025-22228
• https://spring.io/security/cve-2025-22228
• spring-projects/spring-security@46f0dc6