Mobile-Menu

EndpointRequest-Konfiguration betroffen Fehler bei Endpoint-Matcher in Spring Security

Von Thomas Joos 2 min Lesedauer

Anbieter zum Thema

Vogel IT-Medien GmbH
Fsas Technologies GmbH
SEPPmail - Deutschland GmbH

Eine fehlerhafte Zuordnung in Spring Security kann ungeschützte Pfade zugänglich machen. Die Schwachstelle CVE-2025-22235 betrifft gezielt Sicherheitsregeln, die auf nicht aktivierte Actuator-Endpunkte verweisen, und erzeugt dadurch riskante Zugriffsmuster.

Nutzen sie die Sicherheitslücke CVE-2025-22235 erfolgreich aus, können Cyberkriminelle sich unbefugten Zugriff auf Ressourcen im Framework Spring verschaffen.(Bild: James Thew - stock.adobe.com)
Nutzen sie die Sicherheitslücke CVE-2025-22235 erfolgreich aus, können Cyberkriminelle sich unbefugten Zugriff auf Ressourcen im Framework Spring verschaffen.
(Bild: James Thew - stock.adobe.com)

Eine aktuelle Sicherheitslücke in Spring Boot wirft erneut Fragen zur Robustheit von Security-Konfigurationen auf. In bestimmten Szenarien erzeugt der Befehl „EndpointRequest.to()“ innerhalb einer Spring-Security-Chain einen fehlerhaften Matcher. Dieser ist eine Komponente in Spring Security, die prüft, ob eine bestimmte HTTP-Anfrage zu einem definierten geschützten Endpunkt gehört, um darauf aufbauend Sicherheitsregeln wie Authentifizierung oder Autorisierung anzuwenden.

Sobald sich der zugehörige Actuator-Endpunkt als deaktiviert oder nicht im Web verfügbar erweist, wird automatisch ein Pattern auf „null/**“ generiert. Das führt dazu, dass Anfragen an den Pfad „/null“ irrtümlich in diese Sicherheitskette fallen, selbst dann, wenn sie eigentlich gar nicht abgesichert sein sollten oder andere Regeln gelten. Spring Security ist ein Open-Source-Sicherheits-Framework für Java- und Spring-Anwendungen, das Authentifizierung, Autorisierung und Schutz vor Webangriffen bietet.

Hintergrund zu CVE-2025-22235

Betroffen von der Sicherheitslücke CVE-2025-22235 (CVSS 7.3) sind die Spring-Boot-Versionen von 2.7.0 bis einschließlich 3.4.4. Ältere, nicht mehr unterstützte Versionen sind ebenfalls verwundbar. Fixes existieren zwar bereits, stehen jedoch nur in Teilen des Versionzweigs als Open Source bereit. So wurden etwa die OSS-Versionen 3.3.11 sowie 3.4.5 mit einem Patch versehen, während Anwender von 2.7.x, 3.1.x und 3.2.x auf Enterprise-Support angewiesen sind, um an abgesicherte Releases zu gelangen.

Die Sicherheitslücke betrifft Konfigurationen, in denen Spring Security aktiv eingesetzt wird und explizit EndpointRequest.to() zur Absicherung von Actuator-Endpunkten verwendet wurde. Entscheidend ist außerdem, dass der adressierte Endpunkt in der konkreten Implementierung entweder deaktiviert wurde oder nicht per Web-Expose erreichbar ist. In diesem Fall fällt die generierte Matcher-Regel auf /null/** zurück. Anwendungen, die diesen Pfad aktiv nutzen oder sensible Daten unter dieser URL anbieten, könnten dadurch unbeabsichtigt angreifbar sein.

Systeme bleiben hingegen sicher, sofern auf „EndpointRequest.to()“ verzichtet wurde, der referenzierte Actuator-Endpunkt tatsächlich freigeschaltet ist oder „/null“ in der jeweiligen Architektur keinerlei Rolle spielt.

Gegenmaßnahmen ergreifen

Als kurzfristige Gegenmaßnahme kommen zwei Optionen infrage. Entweder wird sichergestellt, dass der betreffende Endpunkt freigegeben und über HTTP erreichbar ist, oder es wird sichergestellt, dass „/null“ im Anwendungskontext keine Anfragen verarbeitet. Die nachhaltigere Lösung bleibt jedoch die Aktualisierung auf eine fehlerbereinigte Version der jeweiligen Spring-Boot-Reihe.

(ID:50404241)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte