CVE-2025-22228

1. Produto afetado:^Spring® Security
2. Pacotes afetados: spring-security-crypto
3. Versões afetadas:
   • 5.6.12 e anteriores
   • 5.7.0 – 5.7.15
   • 5.8.0 – 5.8.17
   • 6.0.0 – 6.0.15
   • 6.1.0 – 6.1.13
   • 6.2.0 – 6.2.9
   • 6.3.0 – 6.3.7
   • 6.4.0 – 6.4.3
4. Repositório do GitHub:
   • https://github.com/spring-projects/spring-security
5. Pacotes publicados:
   • https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
6. Corrigido na versão:ELS para^Spring® Security v5.8.16.TuxCare

Senhas com hash BCrypt têm comprimento máximo de 72 caracteres. A função `hashpw` da classe `BCrypt` do ` spring-security-crypto` gera o hash apenas dos primeiros 72 caracteres de uma senha. Qualquer senha com comprimento superior a esse limite será validada apenas com base nos primeiros 72 caracteres.

Após a aplicação da correção, as senhas existentes com mais de 72 caracteres precisam ser redefinidas para que o sistema funcione corretamente, pois um usuário com uma senha desse tipo simplesmente não conseguirá fazer login. Novas senhas com mais de 72 caracteres não são aceitas.

A aplicação do teste (crédito: Joe Grandja) abaixo nos permite testar essa vulnerabilidade.

@Test
   public void enforcePasswordLength() {
       BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
       String password72chars = "123456789012345678901234567890123456789012345678901234567890123456789012";
       assertThat(encoder.matches(password72chars, encoder.encode(password72chars))).isTrue();
       String password73chars = password72chars.concat("a");
       assertThatIllegalArgumentException()
           .isThrownBy(() -> encoder.matches(password73chars, encoder.encode(password73chars)));
   }

^{O Spring®} Security 5.8.x não conta mais com o suporte da comunidade de código aberto, já que sua data de fim de vida útil é 31/12/2023. Isso significa simplesmente que as versões a partir dessa data não recebem mais atualizações para corrigir esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

• Aproveite o Suporte de Ciclo de Vida Ilimitado da TuxCare, que amplia o suporte regular de segurança da comunidade após o fim da vida útil (EOL).
• Como alternativa, dedique algum tempo para atualizar para as versões mais recentes^{do Spring®} Security de código aberto que ainda recebem suporte e que já incluem a correção: 6.3.8 ou 6.4.4

Se você precisar de uma correção para essa vulnerabilidade em qualquer outra versão^{do Spring®} Security, entre em contato conosco. Estamos aqui para ajudá-lo!

• https://nvd.nist.gov/vuln/detail/CVE-2025-22228
• https://spring.io/security/cve-2025-22228
• spring-projects/spring-security@46f0dc6