CVE-2025-22234

1. Produto afetado:^Spring® Security
2. Pacotes afetados: spring-security-crypto
   spring-security-core
3. Versões afetadas:
   • Apenas 5.7.16
   • Apenas 5.8.16.tuxcare
   • Apenas 5.8.16.tuxcare.1
   • Apenas 5.8.16.tuxcare.2
   • Apenas 5.8.18
   • Apenas 6.0.16
   • Apenas 6.1.14
   • Apenas 6.2.10
   • Apenas 6.3.8
   • Apenas 6.4.4
4. Repositório do GitHub:
   • https://github.com/spring-projects/spring-security
5. Pacotes publicados:
   • https://mvnrepository.com/artifact/org.springframework.security/spring-security-crypto
   • https://mvnrepository.com/artifact/org.springframework.security/spring-security-core
6. Corrigido na versão:ELS para^Spring® Security v5.8.16.TuxCare.3

Informações sobre a vulnerabilidade

Essa falha decorre de um erro introduzido no BCryptPasswordEncoder como consequência de um patch para o CVE-2025-22228. Essa alteração, inadvertidamente, comprometeu a mitigação contra ataques de temporização anteriormente presente no `DaoAuthenticationProvider`. Como resultado, um invasor remoto pode identificar, pelo tipo de exceção ou pelo tempo de resposta, se um determinado nome de usuário está presente ou não. Isso é conhecido como enumeração de usuários — o invasor pode criar uma lista de nomes de usuário válidos.

Assim que um invasor obtiver nomes de usuário reais, ele poderá:

• Realizar ataques de força bruta
• Realizar campanhas de phishing
• Aproveitar os recursos de redefinição de senha ou recuperação de conta

1. Configure uma versão vulnerável do^Spring® Security.
2. Configure a autenticação para usar o DaoAuthenticationProvider com o BCryptPasswordEncoder.
3. Validate timing consistency with password <72 in length.
4. Verifique se um nome de usuário inválido gera uma exceção `BadCredentialsException` e compare o tempo de resposta com o de um nome de usuário válido com uma senha incorreta. O tempo de resposta em ambos os casos deve ser aproximadamente equivalente, demonstrando a proteção contra ataques de temporização.
5. Teste com uma senha longa, com mais de 72 caracteres.
6. Tente autenticar um usuário válido com uma senha com mais de 72 caracteres. Observe que, na versão vulnerável, isso gera uma exceção ou um comportamento diferente devido à forma como o BCrypt lida com senhas longas.

^{O Spring®} Security 5.8.x não conta mais com o suporte da comunidade de código aberto, pois sua data de fim de vida útil é 31/12/2023. Isso significa simplesmente que, a partir dessa data, essa versão não receberá mais atualizações para corrigir esse problema.

‍Os usuários dos componentes afetados devem aplicar uma das seguintes medidas de mitigação:

• Aproveite o parceiro de suporte da TuxCare para obter o Suporte de Ciclo de Vida Ilimitado, que amplia o suporte de segurança regular da comunidade após o fim da vida útil (EoL), e basta aplicar nossos patches.
• Como alternativa, procure atualizar para as versões mais recentes^{do Spring®} Security de código aberto que ainda recebem suporte e que já incluem a correção: 6.3.9 ou 6.4.5

Se você precisar de uma correção para essa vulnerabilidade em qualquer outra versão^{do Spring®} Security, entre em contato conosco. Estamos aqui para ajudá-lo!

• https://spring.io/security/cve-2025-22234
• https://www.cybersecurity-help.cz/vdb/SB2025042310