CVE-2026-41720

Data: 2026-07-31

Severity: High

CVSS Score: 7.4 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N)

Riferimenti:

• https://nvd.nist.gov/vuln/detail/CVE-2026-41720

• https://spring.io/security/cve-2026-41720

• https://github.com/advisories/GHSA-jrv5-8w28-4265

• https://github.com/spring-projects/spring-ldap/issues/407

Libreria: org.springframework.ldap:spring-ldap-core

• GovWay 3.3.x: <= 2.4.4

• GovWay 3.4.x: <= 4.0.3

Descrizione

CWE-287: Improper Authentication

Spring LDAP’s DirContextAuthenticationStrategy implementations do not reject a bind request where a non-empty username is paired with an empty or null password.

Affected versions: Spring LDAP 2.4.0 through 2.4.4; 3.2.0 through 3.2.17; 3.3.0 through 3.3.7; 4.0.0 through 4.0.3.

A simple bind with a non-empty principal and an empty password is the LDAP unauthenticated bind shape (RFC 4513, section 5.1.2), which many directories accept as an anonymous bind and report as success. This can cause callers to believe authentication succeeded when no password was actually verified.

GovWay

La vulnerabilità si manifesta nelle applicazioni che utilizzano Spring LDAP per verificare le credenziali di un’utenza, effettuando una bind sul server LDAP con le credenziali fornite dall’utente ed interpretandone l’esito come autenticazione riuscita: in tale scenario una password vuota comporta una bind non autenticata che il server, se permissivo, accetta come anonima riportando successo.

GovWay non implementa alcuna funzionalità di questo tipo. La libreria Spring LDAP viene utilizzata unicamente come client LDAP in uscita, per il recupero di risorse esterne il cui riferimento sia indicato con una url di tipo ldap: (es. CRL, informazioni OCSP, keystore remoti): la connessione viene stabilita con le eventuali credenziali di servizio indicate dall’amministratore nella configurazione della risorsa, ed il risultato dell’operazione è il contenuto dell’attributo LDAP richiesto, mai un giudizio di autenticazione su un’utenza.

L’autenticazione degli applicativi fruitori e degli utenti delle console di gestione non coinvolge in alcun modo Spring LDAP; la libreria è infatti distribuita solamente nell’archivio govway.ear e non è presente in nessuno degli archivi web del prodotto (govwayConsole, govwayMonitor e le relative API di configurazione e monitoraggio).

Versione affette:

• 3.3.x: <= 3.3.20

• 3.4.x: <= 3.4.3

Risoluzione:

• 3.3.x: -

• 3.4.x: 3.4.4