„`html
Zusammenfassung
CVE-2026-41856 ist eine Sicherheitslücke mit hohem Schweregrad (CVSS 7.5) in Spring for GraphQL, die einen kritischen Fehler in der Annotation-Erkennungsmechanismus aufdeckt. Das Sicherheitsrisiko besteht darin, dass Sicherheitsannotationen bei @Controller Data Fetchern in Typenhierarchien nicht korrekt aufgelöst werden, wodurch Authentifizierungs- und Autorisierungsprüfungen zur Laufzeit umgangen werden können.
Betroffene Systeme
Die Vulnerabilität betrifft folgende VMware Spring for GraphQL Versionen:
- Version 2.0.0 bis 2.0.3
- Version 1.4.0 bis 1.4.5
- Version 1.3.0 bis 1.3.8
- Version 1.0.0 bis 1.0.6
Angriffsvektor: Network (netzwerkbasiert)
Technische Details
Der Fehler liegt in der Annotation-Detection-Mechanik für @Controller-basierte GraphQL Data Fetcher. Wenn Sicherheitsannotationen (wie @PreAuthorize, @Secured oder @RolesAllowed) in Methodenüberladungen oder Typenhierarchien verwendet werden, können diese vom Framework nicht korrekt erkannt werden.
Dies fĂĽhrt dazu, dass:
- Autorisierungsprüfungen vollständig ignoriert werden
- Unbefugte Benutzer auf geschützte GraphQL-Operationen zugreifen können
- Die Sicherheit von API-Endpunkten kompromittiert wird
Das Problem tritt besonders auf, wenn polymorphe Datenstrukturen oder geerbte Resolver-Klassen mit Sicherheitsannotationen verwendet werden.
Empfohlene Massnahmen
- Sofortiges Update: Aktualisieren Sie auf patched Versionen (2.0.4+, 1.4.6+, 1.3.9+ oder 1.0.7+)
- Temporäre Mitigationen: Implementieren Sie zusätzliche Autorisierungsprüfungen auf Resolver-Ebene mit explizitem Code
- Monitoring: Überprüfen Sie GraphQL-Query-Logs auf ungewöhnliche Zugriffsmuster
- Code-Audit: PrĂĽfen Sie bestehende GraphQL-Resolver auf Typenhierarchien mit Sicherheitsannotationen
Bewertung
CVSS Score: 7.5 (High)
Patch verfĂĽgbar: Ja
Exploitbarkeit: Hoch – Vulnerabilität ist netzwerkbasiert und erfordert keine Authentifizierung
Priorität: Kritisch – Unmittelbares Patching erforderlich fĂĽr produktive Systeme
„`