22228

1. Produit concerné :^Spring® Security
2. Paquets affectés : spring-security-crypto
3. Versions affectées :
   - 5.6.12 et antérieures
   - 5.7.0 - 5.7.15
   - 5.8.0 - 5.8.17
   - 6.0.0 - 6.0.15
   - 6.1.0 - 6.1.13
   - 6.2.0 - 6.2.9
   - 6.3.0 - 6.3.7
   - 6.4.0 - 6.4.3
4. Dépôt GitHub :
   - https://github.com/spring-projects/spring-security
5. Paquets publiés :
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
6. Corrigé dans :ELS pour^Spring® Security v5.8.16. TuxCare

Les mots de passe hachés par BCrypt ont une longueur maximale de 72 caractères. La fonction hashpw de la classe BCrypt de spring-security-crypto ne hache que les 72 premiers caractères d'un mot de passe. Tout mot de passe plus long ne sera validé que sur la base de ses 72 premiers caractères.

Après l'application du correctif, les mots de passe existants dépassant 72 caractères doivent être réinitialisés pour fonctionner correctement, car un utilisateur avec un tel mot de passe ne pourra tout simplement pas se connecter. Les nouveaux mots de passe dont la longueur dépasse 72 caractères ne sont pas acceptés.

L'application du test (crédit : Joe Grandja) ci-dessous permet de tester cette vulnérabilité.

@Test
   public void enforcePasswordLength() {
       BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
       String password72chars = "123456789012345678901234567890123456789012345678901234567890123456789012";
       assertThat(encoder.matches(password72chars, encoder.encode(password72chars))).isTrue();
       String password73chars = password72chars.concat("a");
       assertThatIllegalArgumentException()
           .isThrownBy(() -> encoder.matches(password73chars, encoder.encode(password73chars)));
   }

^Spring® Security 5.8.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie est fixée au 31 décembre 2023. Cela signifie simplement que les versions postérieures à cette date ne bénéficieront d'aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

• Tirez parti de l'assistance de TuxCare pour le cycle de vie sans fin, qui prolonge l'assistance de sécurité EOL régulière de la communauté.
• Vous pouvez également effectuer la mise à niveau vers les versions open source^Spring® Security plus récentes et toujours prises en charge qui intègrent le correctif : 6.3.8 ou 6.4.4.

Si vous avez besoin d'une solution pour cette vulnérabilité pour toute autre version^{de Spring®} Security, veuillez nous contacter, nous sommes là pour vous aider !

• https://nvd.nist.gov/vuln/detail/CVE-2025-22228
• https://spring.io/security/cve-2025-22228
• spring-projects/spring-security@46f0dc6