„`html

CVE-2026-47892: Spring Framework WebFlux Header Predicate Bypass

Zusammenfassung

Eine kritische Sicherheitslücke in Spring Framework betrifft WebFlux-Anwendungen mit funktionalen Endpunkten, die mit DispatcherServlet bereitgestellt werden. Die Schwachstelle ermöglicht einen Bypass von Header-Prädikat-Validierungen bei Pre-Flight-Requests, was zu unauthorisiertem Zugriff führen kann. Mit einem CVSS-Score von 9,8 wird diese Lücke als kritisch eingestuft.

Betroffene Systeme

• Spring Framework 7.0.0 bis 7.0.8
• Spring Framework 6.2.0 bis 6.2.19
• Spring Framework 6.1.0 bis 6.1.28
• Spring Framework 6.0.0 bis 6.0.30
• Spring Framework 5.3.0 bis 5.3.49
• Spring Framework 5.2.5.RELEASE bis 5.2.25.RELEASE

Angriffsvektor: Netzwerk | Authentifizierung: Nicht erforderlich

Technische Details

Die Schwachstelle existiert in der WebFlux-Implementierung bei der Verarbeitung funktionaler Endpunkte. Angreifer können speziell manipulierte CORS-Pre-Flight-Requests (OPTIONS) senden, um Header-basierte Sicherheitsprädikate zu umgehen. Dies betrifft Konfigurationen, bei denen Header-Validierung als Sicherheitsmechanismus eingesetzt wird.

Das Kernproblem liegt in der unzureichenden Validierung von Request-Headern vor dem Dispatcher-Routing. Pre-Flight-Requests werden nicht vollständig gegen definierte Prädikate überprüft, was einen direkten Zugriff auf geschützte Ressourcen ermöglicht.

Empfohlene Massnahmen

• Sofortige Aktualisierung auf die nächstverfügbare patched Version durchführen
• Implementierung zusätzlicher CORS-Filter auf Servlet-Ebene erwägen
• Header-Validierungen redundant auf Anwendungsebene durchführen
• Web Application Firewall (WAF) zur Filterung verdächtiger Pre-Flight-Requests konfigurieren
• Sicherheitsaudit der eingesetzten Header-basierten Authentifizierungsmechanismen durchführen

Bewertung

Schweregrad: Critical | CVSS v3.1: 9,8 (Critical)

Diese Lücke erfordert prioritäre Aufmerksamkeit. Der hohe CVSS-Score, kombiniert mit dem fehlenden Patch und der breiten Anfälligkeit über mehrere Framework-Versionen, stellt ein erhebliches Risiko dar. Sofortige Mitigation und Patch-Management sind zwingend erforderlich.

„`