22234

1. Produit concerné :^Spring® Security
2. Paquets affectés : spring-security-crypto
   spring-security-core
3. Versions concernées :
   - 5.7.16 uniquement
   - 5.8.16.tuxcare uniquement
   - 5.8.16.tuxcare.1 uniquement
   - 5.8.16.tuxcare.2 uniquement
   - 5.8.18 uniquement
   - 6.0.16 seulement
   - 6.1.14 seulement
   - 6.2.10 seulement
   - 6.3.8 seulement
   - 6.4.4 seulement
4. Dépôt GitHub :
   - https://github.com/spring-projects/spring-security
5. Paquets publiés :
   - https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
   - https: //mvnrepository.com/artifact/org.springframework.security/spring-security-core
6. Corrigé dans :ELS pour^Spring® Security v5.8.16.TuxCare.3

Informations sur les vulnérabilités

Cette faille provient d'une erreur introduite dans le BCryptPasswordEncoder suite à un correctif pour CVE-2025-22228. Ce changement a perturbé par inadvertance l'atténuation de l'attaque temporelle précédemment présente dans DaoAuthenticationProvider. En conséquence, un attaquant distant peut identifier par le type d'exception ou par une réponse temporelle différente si ce nom d'utilisateur est présent ou non. C'est ce qu'on appelle l'énumération d'utilisateurs - l'attaquant peut construire une liste de noms d'utilisateurs valides.

Une fois qu'un pirate dispose de véritables noms d'utilisateur, il peut :

• Effectuer des attaques par force brute
• Lancer des campagnes d'hameçonnage
• Exploiter les fonctions de réinitialisation de mot de passe ou de récupération de compte

1. Configurez une version vulnérable de^Spring® Security.
2. Configurer l'authentification pour utiliser DaoAuthenticationProvider avec BCryptPasswordEncoder.
3. Validate timing consistency with password <72 in length.
4. Vérifiez qu'un nom d'utilisateur non valide entraîne une exception BadCredentialsException et comparez le temps de réponse à celui d'un nom d'utilisateur valide avec un mot de passe incorrect. Le temps de réponse dans les deux cas devrait être à peu près équivalent, ce qui démontre l'atténuation des attaques temporelles.
5. Test avec un mot de passe long >72.
6. Tentative d'authentification d'un utilisateur valide avec un mot de passe de plus de 72 caractères. Observez que, dans la version vulnérable, cela déclenche une exception ou un comportement différent en raison de la façon dont BCrypt gère les mots de passe longs.

^Spring® Security 5.8.x n'est plus pris en charge par la communauté open source, car sa date de fin de vie est fixée au 31 décembre 2023. Cela signifie simplement qu'à partir de cette date, cette version ne bénéficiera plus d'aucune mise à jour pour résoudre ce problème.

‍Les utilisateurs des composants concernés doivent appliquer l'une des mesures d'atténuation suivantes :

• Tirez parti du partenaire d'assistance TuxCare pour un support de cycle de vie sans fin qui étend le support de sécurité communautaire EoL régulier et appliquez simplement nos correctifs.
• Vous pouvez également effectuer la mise à niveau vers les versions open source^Spring® Security plus récentes et toujours prises en charge qui intègrent le correctif : 6.3.9 ou 6.4.5.

Si vous avez besoin d'une solution pour cette vulnérabilité pour toute autre version^{de Spring®} Security, veuillez nous contacter, nous sommes là pour vous aider !

• https://spring.io/security/cve-2025-22234
• https://www.cybersecurity-help.cz/vdb/SB2025042310