DeutschIn der Originalsprache angezeigt — eine vollständige Übersetzung ist für eine zukünftige Version geplant.
VMware Tanzu Spring Boot: Mehrere Schwachstellen
Advisory ansehen veröffentlicht 2026-04-23
Ein Angreifer kann mehrere Schwachstellen in VMware Tanzu Spring Boot ausnutzen, um beliebigen Programmcode auszuführen, Sicherheitsmaßnahmen zu umgehen, vertrauliche Daten zu manipulieren oder offenzulegen oder authentifizierte Benutzer zu kapern.
01
beschreibt (8)
Zugehörige CVEs.
| ID | Schweregrad | ausnutzbar | ||
|---|---|---|---|---|
| CVE-2026-40977US | medium6.7 | — | ||
When an application is configured to use `ApplicationPidFileWriter`, a local attacker with write access to the PID file's location can corrupt one file on the host each time the ap… | ||||
| CVE-2026-40976US | —OT erhöht | Exploit | ||
In certain circumstances, Spring Boot's default web security is ineffective allowing unauthorized access to all endpoints. For an application to be vulnerable, it must: be a servle… | ||||
| CVE-2026-40975US | high7.5OT erhöht | — | ||
Values produced by ${random.value} are not suitable for use as secrets. ${random.uuid} is not affected. ${random.int} and ${random.long} should never be used for secrets as they ar… | ||||
| CVE-2026-40974US | critical9.8 | — | ||
Spring Boot's Cassandra auto-configuration does not perform hostname verification when establishing an SSL connection to Cassandra.
Affected: Spring Boot 4.0.0–4.0.5 (fix 4.0.6),… | ||||
| CVE-2026-40973US | — | — | ||
A local attacker on the same host as the application may be able to take control of the directory used by `ApplicationTemp`. When `server.servlet.session.persistent` is set to `tru… | ||||
| CVE-2026-40972US | — | — | ||
An attacker on the same network as the remote application may be able to utilize a timing attack to discover information about the remote secret. In extreme circumstances this coul… | ||||
| CVE-2026-40971US | critical9.1 | — | ||
When configured to use an SSL bundle, Spring Boot's RabbitMQ auto-configuration does not perform hostname verification when connecting to the RabbitMQ broker.
Affected: Spring Boo… | ||||
| CVE-2026-40970US | medium6.8 | — | ||
When configured to use an SSL bundle, Spring Boot's Elasticsearch auto-configuration does not perform hostname verification when connecting to the Elasticsearch server.
Affected:… | ||||
02
Referenzen
Externe Belege — Patches, Meldungen, Analysen.
- Red Hat Security Advisory RHSA-2026:17668 vom 2026-05-14external
- Red Hat Security Advisory RHSA-2026:21772 vom 2026-05-29external
- Red Hat Security Advisory RHSA-2026:22619 vom 2026-06-02external
- Red Hat Security Advisory RHSA-2026:25089 vom 2026-06-10external
- Spring Blog vom 2026-04-23external
- Spring Blog vom 2026-04-23external
- Spring Security Advisories vom 2026-04-23external
- Spring Security Advisories vom 2026-04-23external
scry
Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan