🟠 CVE-2026-47886: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-47886 ist eine Denial-of-Service (DoS) Schwachstelle im Spring Framework mit einem CVSS-Score von 7.5 (High). Die Anfälligkeit betrifft Anwendungen, die benutzerdefinierte Spring Expression Language (SpEL) Ausdrücke evaluieren. Ein Angreifer kann durch Missbrauch des Potenzoperators (^) in Kombination mit BigDecimal oder BigInteger Operanden und großen Exponentenwerten eine DoS-Bedingung auslösen.

Betroffene Systeme

Die Schwachstelle betrifft folgende Spring Framework Versionen:

• Spring Framework 7.0.0 bis 7.0.8
• Spring Framework 6.2.0 bis 6.2.19
• Spring Framework 6.1.0 bis 6.1.28
• Spring Framework 6.0.0 bis 6.0.30
• Spring Framework 5.3.0 bis 5.3.49
• Spring Framework 5.2.25.RELEASE und früher

Betroffen sind alle Anwendungen, die SpEL-Ausdrücke aus nicht vertrauenswürdigen Quellen verarbeiten.

Technische Details

Die Schwachstelle liegt in der SpEL-Engine bei der Verarbeitung des Potenzoperators. Wenn ein Angreifer Ausdrücke wie BigDecimal(2)^999999999 oder BigInteger(2)^999999999 einschleust, führt dies zu extrem rechenintensiven Operationen. Diese verursachen exzessive CPU-Auslastung und Speicherverbrauch, was zu einer Ressourcenerschöpfung und damit zum Ausfall der Anwendung führt.

Der Angriffsvektor ist netzwerkbasiert, was bedeutet, dass die Anfälligkeit über das Netzwerk ohne Authentifizierung exploitiert werden kann. Dies macht sie besonders kritisch für öffentlich erreichbare Anwendungen.

Empfohlene Massnahmen

• Update durchführen: Aktualisieren Sie das Spring Framework auf gepatchte Versionen, sobald diese verfügbar sind
• Input-Validierung: Implementieren Sie strenge Validierung für benutzerdefinierte SpEL-Ausdrücke
• SpEL-Sandboxing: Verwenden Sie SpEL-Parser mit eingeschränkten Operationen, falls möglich
• Rate Limiting: Implementieren Sie Rate-Limiting für Anfragen mit SpEL-Ausdrücken
• Monitoring: Überwachen Sie CPU- und Speicherauslastung auf verdächtige Muster

Bewertung

Schweregrad: High (CVSS 7.5)

Angriffsvektor: Netzwerk

Verfügbarkeit des Patches: Nicht verfügbar

Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Organisationen sollten ihre Systeme inventarisieren und Mitigationsmaßnahmen implementieren, bis offizielle Patches zur Verfügung stehen.

„`