22234

1. Betroffenes Produkt:^Spring® Security
2. Betroffene Pakete: spring-security-crypto
   spring-security-core
3. Betroffene Versionen:
   - Nur 5.7.16
   - Nur 5.8.16.tuxcare
   - Nur 5.8.16.tuxcare.1
   - Nur 5.8.16.tuxcare.2
   - Nur 5.8.18
   - nur 6.0.16
   - nur 6.1.14
   - nur 6.2.10
   - nur 6.3.8
   - nur 6.4.4
4. GitHub-Repository:
   - https://github.com/spring-projects/spring-security
5. Veröffentlichte Pakete:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
   - https: //mvnrepository.com/artifact/org.springframework.security/spring-security-core
6. Behoben in:ELS für^Spring® Security v5.8.16.TuxCare.3

Informationen zur Schwachstelle

Diese Schwachstelle rührt von einem Fehler her, der in BCryptPasswordEncoder als Folge eines Patches für CVE-2025-22228 eingeführt wurde. Durch diese Änderung wurde versehentlich die Abschwächung von Zeitangriffen unterbrochen, die zuvor in DaoAuthenticationProvider vorhanden war. Infolgedessen kann ein entfernter Angreifer anhand der Art der Ausnahme oder einer anderen Zeitantwort feststellen, ob dieser Benutzername vorhanden ist oder nicht. Dies ist als Benutzeraufzählung bekannt - der Angreifer kann eine Liste von gültigen Benutzernamen erstellen.

Sobald ein Angreifer über echte Benutzernamen verfügt, kann er:

• Brute-Force-Angriffe durchführen
• Phishing-Kampagnen starten
• Ausnutzung von Funktionen zum Zurücksetzen von Passwörtern oder zur Wiederherstellung von Konten

1. Richten Sie eine anfällige Version von^Spring® Security ein.
2. Konfigurieren Sie die Authentifizierung zur Verwendung von DaoAuthenticationProvider mit BCryptPasswordEncoder.
3. Validate timing consistency with password <72 in length.
4. Überprüfen Sie, ob ein ungültiger Benutzername zu einer BadCredentialsException führt, und vergleichen Sie die Antwortzeit mit einem gültigen Benutzernamen und einem falschen Kennwort. Das Timing für beide Fälle sollte ungefähr gleich sein, was die Abschwächung gegen Timing-Angriffe demonstriert.
5. Test mit einem langen Passwort >72.
6. Versuch, einen gültigen Benutzer mit einem Kennwort zu authentifizieren, das länger als 72 Zeichen ist. Beachten Sie, dass dies in der verwundbaren Version eine andere Ausnahme oder ein anderes Verhalten auslöst, da BCrypt lange Passwörter behandelt.

^Spring® Security 5.8.x wird von der Open-Source-Community nicht mehr unterstützt, da sein End-of-Life-Datum der 31.12.2023 ist. Das bedeutet einfach, dass diese Version ab diesem Datum keine Updates mehr erhält, um dieses Problem zu beheben.

‍Benutzer der betroffenen Komponenten sollten eine der folgenden Abhilfemaßnahmen anwenden:

• Nutzen Sie den TuxCare-Supportpartner für Endless Lifecycle Support, der den regulären EoL-Sicherheitssupport der Community erweitert, und spielen Sie einfach unsere Patches ein.
• Alternativ können Sie ein Upgrade auf die neueren, weiterhin unterstützten Open-Source-Versionen^{von Spring®} Security durchführen, die den Fix enthalten: 6.3.9 oder 6.4.5.

Benötigen Sie eine Lösung für diese Sicherheitslücke für eine andere^Spring® Security-Version? Bitte kontaktieren Sie uns, wir helfen Ihnen gerne weiter!

• https://spring.io/security/cve-2025-22234
• https://www.cybersecurity-help.cz/vdb/SB2025042310