Se han descubierto vulnerabilidades de severidad alta y crítica en productos Spring Boot. Un actor malicioso podría obtener acceso no autorizado a puntos finales de la aplicación, realizar ataques de tiempo para descubrir secretos o ejecutar código arbitrario en los sistemas afectados.
Productos afectados
Spring Boot:
- Versiones 4.0.0 a 4.0.5.
- Versiones 3.5.0 a 3.5.13.
- Versiones 3.4.0 a 3.4.15.
- Versiones 3.3.0 a 3.3.18.
- Versiones 2.7.0 a 2.7.32.
- Todas las versiones anteriores que han alcanzado el fin de su vida útil.
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2026-40976: con una puntuación de 9.1 en CVSS v3.1. Existe una vulnerabilidad de ausencia de reglas de autorización en la cadena de filtros de seguridad predeterminada cuando se utiliza Actuator sin el componente Health. Un actor malicioso remoto podría obtener acceso no autorizado a todos los puntos finales de la aplicación, comprometiendo la integridad y confidencialidad del sistema.
CVE-2026-40972: con una puntuación de 7.5 en CVSS v3.1. Existe una vulnerabilidad de comparación de secretos remotos vulnerable a ataques de tiempo en DevTools. Un actor malicioso adyacente podría descubrir el secreto de la aplicación para cargar clases modificadas, lo que permite la ejecución remota de código.
CVE-2026-40973: con una puntuación de 7.0 en CVSS v3.1. Existe una vulnerabilidad de uso de directorios temporales predecibles sin verificación de propiedad en el componente ApplicationTemp. Un actor malicioso local podría tomar el control del directorio de la aplicación para leer información de sesión, secuestrar usuarios autenticados o ejecutar código arbitrario bajo el contexto del usuario de la aplicación.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias