CVE-2026-40997
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Spring Web Services w połączeniu z Spring Security może ujawniać szczegółowe informacje o stanie konta (np. zablokowane lub wyłączone konto) zdalnym klientom SOAP poprzez komunikaty wyjątków lub wyniki callbacków, zamiast zwracać ogólne błędy uwierzytelnienia. Dotyczy wersji 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8.
Ocena ryzyka
Atakujący może odróżnić prawidłowe konta od nieprawidłowych i poznać ich stan, co ułatwia ataki socjotechniczne lub brute-force.
Rekomendacja
Zaktualizuj Spring Web Services do wersji zawierającej poprawkę lub skonfiguruj zwracanie ogólnych błędów uwierzytelnienia.
Inne podatności w Spring Web Services
Zobacz wszystkie- CVE-2026-41000Niskie
W Spring Web Services (wersje 5.0.0-5.0.1, 4.1.0-4.1.3, 4.0.0-4.0.18, 3.1.0-3.1.8) komponent Wss4jSecurityInterceptor nie przekazywał poprawnie instancji ReplayCache do RequestData, co powodowało nieskuteczność ochrony przed atakami replay na tokeny UsernameToken, znaczniki czasu i SAML.
- CVE-2026-40999Wysokie
Gdy WS-Addressing jest używany z nieanonimowymi adresami ReplyTo lub FaultTo, Spring WS może inicjować połączenia wychodzące przez skonfigurowane instancje WebServiceMessageSender do miejsc docelowych pobranych bezpośrednio z nagłówków żądania, bez weryfikacji bezpieczeństwa tych miejsc.
- CVE-2026-40998Wysokie
Podatność w Spring Web Services (Jaxp13XPathTemplate) powoduje, że wyrażenia XPath są przetwarzane z domyślną konfiguracją JDK zamiast wzmocnionej konfiguracji Springa. Może to prowadzić do ataków XXE (XML External Entity) przy przetwarzaniu niezaufanych danych XML.
- CVE-2026-40996Średnie
W Spring Web Services, Wss4jSecurityInterceptor domyślnie ustawia allowRSA15KeyTransportAlgorithm na true, nadpisując bezpieczniejsze domyślne ustawienia Apache WSS4J. To pozwala na akceptowanie kluczy szyfrowanych algorytmem RSA PKCS#1 v1.5 (rsa-1_5) podczas deszyfrowania WS-Security, chyba że operator jawnie zmieni konfigurację.
- CVE-2026-40995Średnie
W Spring Web Services X509AuthenticationProvider może wydać w pełni uwierzytelniony token X509AuthenticationToken, gdy certyfikat mapuje na UserDetails, bez sprawdzania standardowych kontroli cyklu życia konta (wyłączone, zablokowane, wygasłe lub wygasłe poświadczenia).
- CVE-2026-40994Wysokie
Wss4jSecurityInterceptor inicjalizował flagę zgodności BSP (WS-I Basic Security Profile) w taki sposób, że walidacja przychodząca wyłączała egzekwowanie WSS4J BSP na obiekcie RequestData. Usługi walidujące WS-Security w sieci mogły przez to akceptować komunikaty naruszające reguły BSP, osłabiając kontrole na poziomie protokołu.
Oryginalny opis (angielski, źródło NVD)
Several Spring WS integration paths with Spring Security could surface detailed account state (for example locked or disabled user semantics) to remote SOAP clients through exception messages or callback outcomes, instead of failing with generic authentication errors. That behavior assists remote attackers in distinguishing valid accounts from invalid ones and inferring lifecycle state. Affected versions: Spring Web Services 5.0.0 through 5.0.1; 4.1.0 through 4.1.3; 4.0.0 through 4.0.18; 3.1.0 through 3.1.8.