BDU:2025-05948 (CVE-2025-41232) — уязвимость конфигурации @EnableMethodSecurity(mode=ASPECTJ) или spring-security-aspects Java-фреймворка для обеспечения
По данным БДУ ФСТЭК России, по состоянию на 13.08.2025.
Критический — 9.1/10 Устранена
Уязвимость конфигурации @EnableMethodSecurity(mode=ASPECTJ) или spring-security-aspects Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security связана с нарушением механизма защиты данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру авторизации
Кого касается и что делать
- Уязвимое ПО: Spring Security (Broadcom) — версии от 6.4.0 до 6.4.5 включительно
- Что делать: уязвимость устранена производителем — применить исправления: spring.io
Сведения об уязвимости
| Идентификаторы | BDU:2025-05948 · CVE-2025-41232 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.1; CVSS 2.0 — 9.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость конфигурации @EnableMethodSecurity(mode=ASPECTJ) или spring-security-aspects Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security, позволяющая нарушителю обойти процедуру авторизации |
| Даты | Опубликована: 26.05.2025 · Обновлена ФСТЭК: 13.08.2025 · Выявлена: 19.05.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-693 — нарушение механизма защиты данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации |
Уязвимое ПО
- Spring Security (Broadcom) — от 6.4.0 до 6.4.5 включительно · сетевое программное средство
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций
- spring.io/security/cve-2025-41232
