Summary
VMWare heeft kwetsbaarheden verholpen in de Spring Security framework.
Details
Interpretaties
De kwetsbaarheden bevinden zich in de manier waarop het Spring Security framework annotaties detecteert, met name in typehiërarchieën die gebruikmaken van geparametriseerde supertypes met onbeperkte generics. Dit kan leiden tot een autorisatie-omzeiling wanneer gebruik wordt gemaakt van methodesecurity-annotaties zoals @PreAuthorize, vooral als @EnableMethodSecurity is ingeschakeld. Deze problemen zijn bijzonder kritisch voor applicaties die afhankelijk zijn van deze beveiligingsannotaties voor toegangscontrole.
Oplossingen
VMware heeft updates uitgebracht om de kwetsbaarheden te verhelpen. Zie bijgevoegde referenties voor meer informatie.
Vulnerabilities 2
-
High 7.5
CVE-2025-41248: Spring Security authorization bypass for method security annotations on parameterized types
The Spring Security annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue when using @PreAuthorize and other method security annota…
-
High 7.5CVE-2025-41249 Public exploit
CVE-2025-41249: Spring Framework Annotation Detection Vulnerability
The Spring Framework annotation detection mechanism may not correctly resolve annotations on methods within type hierarchies with a parameterized super type with unbounded generics. This can be an issue if such annotations are used for authorization decisions…
Revision history
-
#1.0.0
Initiele versie
References
-
Reference
https://spring.io/blog/2025/09/15/spring-framework-and-spring-security-fixes-for-CVE-2025-41249-and-CVE-2025-41248