Vulnérabilité VMware Tanzu Spring Security: Contournement des protections

L’Office fédéral de la sécurité des technologies de l’facts (BSI) a publié une note de sécurité concernant VMware Tanzu Spring Security le 22 avril 2025. Les systèmes d’exploitation Linux, Unix et Windows, ainsi que le produit VMware Tanzu Spring Security, sont concernés par cette faille de sécurité.

Les dernières recommandations du fabricant concernant les mises à jour,les solutions de contournement et les correctifs de sécurité pour cette faille sont disponibles ici : Spring Security Advisory CVE-2025-22234 (état : 22.04.2025).

Note de sécurité pour VMware Tanzu Spring Security – Risque : Moyen

Niveau de risque : 3 (moyen)
Score de base CVSS : 4,8
score temporel CVSS : 4,2
attaque à distance : Oui

Le système commun d’évaluation des vulnérabilités (CVSS) est utilisé pour évaluer la gravité des failles de sécurité dans les systèmes informatiques.La norme CVSS permet de comparer les failles de sécurité potentielles ou réelles sur la base de diverses mesures, afin de mieux hiérarchiser les contre-mesures. Les attributs sont « aucun », « faible », « moyen », « élevé » et « critique » pour la gravité d’un point faible. Le score de base évalue les conditions préalables à une attaque (authentification UA, complexité, privilèges, interaction de l’utilisateur) et ses conséquences.Le score temporel prend en compte l’évolution des conditions générales au fil du temps. Selon le CVSS, le danger de la faiblesse traitée ici est évalué comme « moyen » avec un score de base de 4,8.

Bug dans VMware Tanzu Spring Security : la vulnérabilité permet de contourner les mesures de sécurité

Spring Security est un framework qui offre une authentification,une autorisation et une protection contre les attaques courantes.

Un attaquant anonyme distant peut profiter d’un point faible dans VMware Tanzu Spring Security pour éviter les mesures de sécurité.

La vulnérabilité est répertoriée sous le numéro de série CVE (Common Vulnerabilities and Exposures) CVE-2025-22234.

systèmes concernés par la faille de sécurité

Systèmes d’exploitation
Linux, UNIX, Windows

Produits
VMware Tanzu Spring Security VMware Tanzu Spring Security 5.7.17 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring Security VMware Tanzu Spring Security 5.8.19 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring Security VMware Tanzu Spring Security 6.0.17 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring Security vmware Tanzu Spring Security 6.1.15 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring security VMware Tanzu Spring Security 6.2.11 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring Security VMware Tanzu Spring Security 6.3.9 (cpe:/a:vmware_tanzu:spring_security)
VMware Tanzu Spring Security VMware Tanzu Spring security 6.4.5 (cpe:/a:vmware_tanzu:spring_security)

Mesures générales pour traiter les points faibles en informatique

1. Les utilisateurs des applications concernées doivent les maintenir à jour. Lorsque des problèmes de sécurité sont détectés, les fabricants sont encouragés à les corriger le plus rapidement possible en développant un correctif ou une solution de contournement. Si de nouvelles mises à jour de sécurité sont disponibles, installez-les rapidement.
2. Consultez les sources énumérées dans la section suivante à titre d’information. Ces informations complémentaires contiennent souvent la dernière version du logiciel concerné, ainsi que la disponibilité des correctifs de sécurité ou des informations sur les solutions de contournement.
3. Si vous avez d’autres questions ou incertitudes, contactez votre administrateur responsable. Les responsables de la sécurité informatique doivent vérifier régulièrement les sources mentionnées pour savoir si une nouvelle mise à jour de sécurité est disponible.

Sources pour les mises à jour, les correctifs et les solutions de contournement

Vous trouverez ici d’autres liens contenant des informations sur les rapports de bogues, les correctifs de sécurité et les solutions de contournement.

spring Security Advisory CVE-2025-22234 du 2025-04-22 (22.04.2025)
Vous trouverez plus d’informations sur :

Historique des versions de cette note de sécurité

Il s’agit de la version initiale de la présente note de sécurité informatique pour VMware Tanzu Spring Security. Ce texte est mis à jour lorsque des mises à jour sont annoncées. Vous pouvez comprendre les modifications apportées en consultant l’historique des versions suivant.

04/22/2025 – Version initiale