CVE-2024-22234
CVE-2024-22234: Gebrochene Zugriffskontrolle in Spring Security bei direkter Verwendung von isFullyAuthenticated
- Veröffentlicht
- 20.02.2024
- Aktualisiert
- 13.02.2025
- CNA zuweisen
- vmware
- Beweise beobachtet
- 04.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:NNiedrig · nächste 30 Tage
- Perzentil
- 51,4 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
In Spring Security, sind Versionen 6.1.x vor 6.1.7 und Versionen 6.2.x vor 6.2.2 anfällig für eine fehlerhafte Zugriffskontrolle (Broken Access Control), wenn eine Anwendung die Methode AuthenticationTrustResolver.isFullyAuthenticated(Authentication) direkt verwendet. Konkret ist eine Anwendung anfällig, wenn: * Die Anwendung AuthenticationTrustResolver.isFullyAuthenticated(Authentication) direkt verwendet und ein null-Authentifizierungsparameter übergeben wird, was zu einem fälschlicherweise wahren Rückgabewert führt. Eine Anwendung ist nicht anfällig, wenn eine der folgenden Bedingungen zutrifft: * Die Anwendung verwendet AuthenticationTrustResolver.isFullyAuthenticated(Authentication) nicht direkt. * Die Anwendung übergibt kein null an AuthenticationTrustResolver.isFullyAuthenticated. * Die Anwendung verwendet isFullyAuthenticated nur über Method Security https://docs.spring.io/spring-security/reference/servlet/authorization/method-security.html oder HTTP Request Security https://docs.spring.io/spring-security/reference/servlet/authorization/authorize-http-requests.html.
Quellen
- CVE-2024-22243-CVE-2024-22234Forschung
env von CVE-2024-22243&CVE-2024-22234
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.