Spring Security 5.7 < 5.7.16 / 5.8 < 5.8.18 / 6.0 < 6.0.16 / 6.1 < 6.1.14 / 6.2 < 6.2.10 / 6.3 < 6.3.8 / 6.4 < 6.4.4 身份验证绕过 (CVE-2025-22228)
high Nessus 插件 ID 233464
语言：
简介
远程主机上有一个 Web 应用程序受到身份验证绕过漏洞影响。描述
远程主机上的 Spring Security 版本为低于 5.7.16 的 5.7、低于 5.8.18 的 5.8、低于 6.0.16 的 6.0、低于 6.1.14 的 6.1、低于 6.2.10 的 6.2、低于 6.3.8 的 6.3 或低于 6.4.4 的 6.4。因此，该框架可能会受到身份验证绕过漏洞的影响。对于长度超过 72 个字符(只要前 72 个字符相同)的密码，BCryptPasswordEncoder.matches(CharSequence,String) 会错误地返回 true。请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级到 Spring Security 5.7.16、5.8.18、6.0.16、6.1.12、6.2.10、6.3.8 或更新版本。另见
插件详情
严重性: High
ID: 233464
文件名: spring_security_CVE-2025-22228.nasl
版本: 1.1
类型: local
代理: windows, macosx, unix
系列: Misc.
发布时间: 2025/3/28
最近更新时间: 2025/3/28
支持的传感器: Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.2
CVSS v2
风险因素: High
基本分数: 7.1
矢量: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2025-22228
CVSS v3
风险因素: High
基本分数: 7.4
矢量: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N
漏洞信息
CPE: cpe:/a:pivotal_software:spring_security
必需的 KB 项: installed_sw/Spring Security
补丁发布日期: 2025/3/19
漏洞发布日期: 2025/3/19
参考资料信息
CVE: CVE-2025-22228
IAVA: 2025-A-0197