VMware Tanzu Spring Framework: Mehrere Schwachstellen

Summary

Product

Vulnerabilities 2

• High 7.5
  CVE-2023-20860 Public exploit

  Spring Framework is vulnerable to security bypass via mvcRequestMatcher pattern mismatch

  Spring Framework running version 6.0.0 - 6.0.6 or 5.3.0 - 5.3.25 using "**" as a pattern in Spring Security configuration with the mvcRequestMatcher creates a mismatch in pattern matching between Spring Security and Spring MVC, and the potential for a securit…

  libspring-java libspring-java org.springframework:spring-webmvc org.springframework:spring Debian Ubuntu Maven
  Mar 27, 2023
• Medium 6.5
  CVE-2023-20861

  Spring Framework vulnerable to denial of service via specially crafted SpEL expression

  In Spring Framework versions 6.0.0 - 6.0.6, 5.3.0 - 5.3.25, 5.2.0.RELEASE - 5.2.22.RELEASE, and older unsupported versions, it is possible for a user to provide a specially crafted SpEL expression that may cause a denial-of-service (DoS) condition.

  libspring-java libspring-java org.springframework:spring-expression Debian Ubuntu Maven
  Mar 23, 2023

Revision history

1. 2025-06-29 #16

   Neue Updates von Dell aufgenommen

2. 2024-10-14 #15

   Neue Updates aufgenommen

3. 2024-04-16 #14

   Neue Updates von BROCADE aufgenommen

4. 2023-09-05 #13

   Neue Updates von Red Hat aufgenommen

5. 2023-07-27 #12

   Neue Updates von IBM aufgenommen

6. 2023-07-26 #11

   Neue Updates aufgenommen

7. 2023-07-06 #10

   Neue Updates von IBM aufgenommen

8. 2023-06-29 #9

   Neue Updates von Red Hat aufgenommen

9. 2023-06-21 #8

   Neue Updates von Red Hat aufgenommen

10. 2023-06-05 #7

    Neue Updates von IBM aufgenommen

11. 2023-05-22 #6

    Neue Updates von IBM aufgenommen

12. 2023-05-21 #5

    Neue Updates von IBM aufgenommen

13. 2023-05-07 #4

    Neue Updates von NetApp aufgenommen

14. 2023-04-20 #3

    Neue Updates von NetApp aufgenommen

15. 2023-03-23 #2

    Neue Updates von Open Source aufgenommen

16. 2023-03-20 #1

    Initiale Fassung

References

• Spring Framework Security Advisory vom 2023-03-20
  https://spring.io/blog/2023/03/20/spring-framework-5-2-23-fixes-cve-2023-20861
• Spring Framework Security Advisory vom 2023-03-20
  https://spring.io/blog/2023/03/20/spring-framework-6-0-7-and-5-3-26-fix-cve-2023-20860-and-cve-2023-20861
• GitHub Security Advisory GHSA-5MG8-W23W-74H3 vom 2023-03-23
  https://github.com/vaadin/platform/releases/tag/24.1.0.alpha1
• NetApp Security Advisory NTAP-20230420-0007 vom 2023-04-20
  https://security.netapp.com/advisory/ntap-20230420-0007/
• NetApp Security Advisory NTAP-20230505-0006 vom 2023-05-05
  https://security.netapp.com/advisory/ntap-20230505-0006/
• IBM Security Bulletin 6997063 vom 2023-05-22
  https://www.ibm.com/support/pages/node/6997063
• IBM Security Bulletin 6988683 vom 2023-05-23
  https://www.ibm.com/support/pages/node/6988683
• IBM Security Bulletin
  https://www.ibm.com/support/pages/node/7001309
• Red Hat Security Advisory RHSA-2023:3771 vom 2023-06-21
  https://access.redhat.com/errata/RHSA-2023:3771
• Red Hat Security Advisory RHSA-2023:3954 vom 2023-06-29
  https://access.redhat.com/errata/RHSA-2023:3954
• IBM Security Bulletin 7010099 vom 2023-07-06
  https://www.ibm.com/support/pages/node/7010099
• PDFreactor 11 Hotfix Release 11.6.6
  https://www.pdfreactor.com/pdfreactor-11-hotfix-release-11-6-6-now-available/
• IBM Security Bulletin 7015075 vom 2023-07-27
  https://www.ibm.com/support/pages/node/7015075
• Red Hat Security Advisory RHSA-2023:4983 vom 2023-09-05
  https://access.redhat.com/errata/RHSA-2023:4983
• Brocade Security Advisory BSA-2023-2245 vom 2024-04-16
  https://support.broadcom.com/external/content/SecurityAdvisories/0/23261
• ### vom 2024-10-15
  https://support.broadcom.com/web/ecx/support-content-notification/-/external/content/SecurityAdvisories/0/24999
• Dell Security Advisory DSA-2025-258 vom 2025-06-30
  https://www.dell.com/support/kbdoc/de-de/000338043/dsa-2025-258-security-update-for-dell-networker-multiple-third-party-component-vulnerabilities