PT-2025-35774 · Vmware · Spring Security

Kuzmany + 2 · Publicado 2025-09-03 · Atualizado 2025-09-03 · CVE-2025-9824

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H

Nome do Software Vulnerável e Versões Afetadas versões anteriores à versão corrigida

Descrição O atacante pode validar se um usuário existe verificando o tempo de resposta do login. Essa diferença de tempo pode ser usada para enumerar nomes de usuário válidos, após o que um atacante poderia tentar ataques de força bruta. O problema foi causado por tempos de resposta diferentes quando um nome de usuário válido era fornecido (era realizado o hash da senha) e quando um nome de usuário inválido era fornecido (não era realizado o hash da senha). A correção introduz um TimingSafeFormLoginAuthenticator que realiza uma verificação de hash de senha fictícia mesmo para usuários inexistentes, garantindo um tempo de resposta consistente.

Recomendações Atualize para a versão corrigida.

Correção

Enumeração de Fraquezas

CWE-204

Identificadores relacionados

CVE-2025-9824

GHSA-3GGV-QWCP-J6XG

Produtos afetados

Spring Security

Referências · 9

• https://github.com/mautic/mautic/security/advisories/GHSA-3ggv-qwcp-j6xg · Nota
• https://github.com/mautic/mautic · Nota
• https://github.com/mautic/mautic/commit/6bc4f5f1aabb13df12714ad0ea9fc281cbb867c6 · Nota
• https://github.com/mautic/mautic/commit/b4264c717ce31fbafafcefc04b02ecb9fb911e62 · Nota
• https://twitter.com/VulmonFeeds/status/1963274788874469404 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-9824 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2025-9824 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-3ggv-qwcp-j6xg · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1963275349300478011 · Publicação no Twitter