Se han descubierto vulnerabilidades de severidad crítica y alta en productos Spring. Un actor malicioso podría realizar la lectura de archivos arbitrarios, acceder a secretos de proyectos no autorizados o comprometer la integridad del sistema mediante condiciones de carrera.
Productos afectados
Spring Cloud Config:
- Versiones 3.1.x anteriores a 3.1.14.
- Versiones 4.1.x anteriores a 4.1.10.
- Versiones 4.2.x anteriores a 4.2.7.
- Versiones 4.3.x anteriores a 4.3.3.
- Versiones 5.0.x anteriores a 5.0.3.
- Versiones que han alcanzado el fin de su vida útil.
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2026-40982: con una puntuación de 9.1 en CVSS v3.1. Existe una vulnerabilidad de salto de directorio en el módulo spring-cloud-config-server. Un actor malicioso remoto podría enviar una solicitud mediante una URL especialmente diseñada para obtener archivos de texto y binarios arbitrarios del servidor, comprometiendo la confidencialidad de los datos del sistema.
CVE-2026-40981: con una puntuación de 7.5 en CVSS v3.1. Existe una vulnerabilidad de omisión de autorización mediante una clave controlada por el usuario cuando se utiliza Google Secrets Manager como backend. Un actor malicioso remoto podría diseñar una solicitud para que el servidor exponga secretos pertenecientes a proyectos de GCP ajenos a la configuración permitida.
CVE-2026-41002: con una puntuación de 7.4 en CVSS v3.1. Existe una vulnerabilidad de condición de carrera del tipo tiempo de verificación a tiempo de uso. Un actor malicioso local con privilegios elevados podría obtener acceso de lectura o escritura a recursos que normalmente no son legibles ni escribibles, comprometiendo la confidencialidad e integridad de los datos del sistema.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias