22228

1. Producto afectado:^Spring® Security
2. Paquetes afectados: spring-security-crypto
3. Versiones afectadas:
   - 5.6.12 y anteriores
   - 5.7.0 - 5.7.15
   - 5.8.0 - 5.8.17
   - 6.0.0 - 6.0.15
   - 6.1.0 - 6.1.13
   - 6.2.0 - 6.2.9
   - 6.3.0 - 6.3.7
   - 6.4.0 - 6.4.3
4. Repositorio GitHub:
   - https://github.com/spring-projects/spring-security
5. Paquetes publicados:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
6. Corregido en:ELS para^Spring® Security v5.8.16. TuxCare

Las contraseñas con hash BCrypt tienen una longitud máxima de 72 caracteres. La función hashpw de la clase BCrypt de spring-security-crypto cifra sólo los primeros 72 caracteres de una contraseña. Cualquier contraseña más larga sólo será validada en base a sus primeros 72 caracteres.

Tras aplicar el parche, las contraseñas existentes que superen los 72 caracteres deben restablecerse para que funcionen correctamente, ya que un usuario con una contraseña de este tipo simplemente no podrá iniciar sesión. No se aceptan nuevas contraseñas con longitudes superiores a 72 caracteres.

La aplicación de la prueba (crédito: Joe Grandja) a continuación nos permite probar esta vulnerabilidad.

@Test
   public void enforcePasswordLength() {
       BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
       String password72chars = "123456789012345678901234567890123456789012345678901234567890123456789012";
       assertThat(encoder.matches(password72chars, encoder.encode(password72chars))).isTrue();
       String password73chars = password72chars.concat("a");
       assertThatIllegalArgumentException()
           .isThrownBy(() -> encoder.matches(password73chars, encoder.encode(password73chars)));
   }

^Spring® Security 5.8.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 31 de diciembre de 2023. Esto simplemente significa que las versiones a partir de esa fecha no recibirán ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

• Aproveche la asistencia durante todo el ciclo de vida de TuxCare, que amplía la asistencia de seguridad EOL de la comunidad.
• Como alternativa, actualice a las versiones más recientes y aún compatibles^{de Spring®} Security de código abierto que han integrado la corrección: 6.3.8 o 6.4.4.

¿Necesita una solución para esta vulnerabilidad en cualquier otra versión^{de Spring®} Security? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!

• https://nvd.nist.gov/vuln/detail/CVE-2025-22228
• https://spring.io/security/cve-2025-22228
• spring-proyectos/spring-seguridad@46f0dc6