22234

1. Producto afectado:^Spring® Security
2. Paquetes afectados: spring-security-crypto
   spring-security-core
3. Versiones afectadas:
   - Sólo 5.7.16
   - Sólo 5.8.16.tuxcare
   - Sólo 5.8.16.tuxcare.1
   - Sólo 5.8.16.tuxcare.2
   - Sólo 5.8.18
   - Sólo 6.0.16
   - Sólo 6.1.14
   - Sólo 6.2.10
   - Sólo 6.3.8
   - Sólo 6.4.4
4. Repositorio GitHub:
   - https://github.com/spring-projects/spring-security
5. Paquetes publicados:
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
   - https: //mvnrepository.com/artifact/org.springframework.security/spring-security-core
6. Corregido en:ELS para^Spring® Security v5.8.16.TuxCare.3

Información sobre vulnerabilidades

Este fallo tiene su origen en un error introducido en BCryptPasswordEncoder como consecuencia de un parche para CVE-2025-22228. Este cambio interrumpió inadvertidamente la mitigación de ataques de tiempo previamente presente en DaoAuthenticationProvider. Como resultado, un atacante remoto puede identificar por tipo de excepción o respuesta de tiempo diferente si este nombre de usuario está presente o no. Esto se conoce como enumeración de usuarios - el atacante puede construir una lista de nombres de usuario válidos.

Una vez que un atacante dispone de nombres de usuario reales, puede:

• Realizar ataques de fuerza bruta
• Lanzar campañas de phishing
• Explotar las funciones de restablecimiento de contraseñas o recuperación de cuentas

1. Configurar una versión vulnerable de^Spring® Security.
2. Configura la autenticación para usar DaoAuthenticationProvider con el BCryptPasswordEncoder.
3. Validate timing consistency with password <72 in length.
4. Comprueba que un nombre de usuario no válido provoca una excepción BadCredentialsException y compara el tiempo de respuesta con el de un nombre de usuario válido con una contraseña incorrecta. El tiempo para ambos casos debería ser aproximadamente equivalente, demostrando la mitigación contra ataques de tiempo.
5. Prueba con una contraseña larga >72 de longitud.
6. Intento de autenticar a un usuario válido con una contraseña de más de 72 caracteres. Observe que, en la versión vulnerable, esto desencadena una excepción o comportamiento diferente debido a cómo BCrypt maneja las contraseñas largas.

^Spring® Security 5.8.x ya no es compatible con la comunidad de código abierto, ya que su fecha de fin de vida útil es el 31 de diciembre de 2023. Esto simplemente significa que, a partir de esa fecha, la versión no recibirá ninguna actualización para solucionar este problema.

‍Los usuarios de los componentes afectados deben aplicar una de las siguientes mitigaciones:

• Aproveche el socio de asistencia de TuxCare para obtener asistencia durante todo el ciclo de vida, que amplía la asistencia de seguridad EoL habitual de la comunidad, y limítese a aplicar nuestros parches.
• Como alternativa, actualice a las versiones más recientes de código abierto^{de Spring®} Security que aún cuentan con soporte y que tienen la corrección integrada: 6.3.9 o 6.4.5.

¿Necesita una solución para esta vulnerabilidad en cualquier otra versión^{de Spring®} Security? Póngase en contacto con nosotros, ¡estamos aquí para ayudarle!

• https://spring.io/security/cve-2025-22234
• https://www.cybersecurity-help.cz/vdb/SB2025042310