PT-2022-15752 · Spring · Spring Security
Publicado
2022-05-19
·
Atualizado
2024-06-13
·
CVE-2022-22976
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N |
Nome do software vulnerável e versões afetadas
Versões 5.5.x do Spring Security anteriores à 5.5.7
Versões 5.6.x do Spring Security anteriores à 5.6.4
Versões anteriores do Spring Security que não recebem mais suporte
Descrição
O problema está relacionado a uma vulnerabilidade de estouro de inteiro. Ao usar a classe BCrypt com o fator de trabalho máximo (31), o codificador não realiza nenhuma rodada de salt, devido a um erro de estouro de inteiro. As configurações padrão não são afetadas.
Recomendações
Para as versões 5.5.x do Spring Security anteriores à 5.5.7, atualize para a versão 5.5.7 ou posterior.
Para versões 5.6.x do Spring Security anteriores à 5.6.4, atualize para a versão 5.6.4 ou posterior.
Para versões anteriores não suportadas do Spring Security, considere atualizar para uma versão suportada para mitigar o risco. Como solução temporária, considere evitar o uso da classe BCrypt com o fator de trabalho máximo (31) até que um patch esteja disponível.
Correção
Integer Overflow
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Spring Security