CVE-2026-47842

Data: 2026-09-03

Severity: Medium

CVSS Score: 6.5 (CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N)

Riferimenti:

• https://nvd.nist.gov/vuln/detail/CVE-2026-47842

• https://spring.io/security/cve-2026-47842

Libreria: org.springframework.security:spring-security-crypto (versioni affette: 5.7.0 - 5.7.25, 5.8.0 - 5.8.27, 6.4.0 - 6.4.18, 6.5.0 - 6.5.11, 7.0.0 - 7.0.6, 7.1.0)

Descrizione

CWE-326: Inadequate Encryption Strength

Applications using AesBytesEncryptor with the two-argument constructor or when passing a null IV generator and CBC as the encryption mode encrypt data with AES/CBC using a null (all-zero) initialization vector. Affected versions: Spring Security 7.1.0; 7.0.0 through 7.0.6; 6.5.0 through 6.5.11; 6.4.0 through 6.4.18; 5.8.0 through 5.8.27; 5.7.0 through 5.7.25.

GovWay

La classe vulnerabile org.springframework.security.crypto.encrypt.AesBytesEncryptor (e la factory Encryptors che la utilizza) appartiene al modulo spring-security-crypto, incluso nella distribuzione di GovWay, ma non è utilizzata dal prodotto: di tale modulo GovWay impiega unicamente SCryptPasswordEncoder, per la codifica delle password degli utenti delle console.

Le funzionalità di cifratura di GovWay - protezione delle informazioni riservate in configurazione, BYOK, sicurezza messaggio - sono realizzate con implementazioni proprie basate direttamente sulle API JCE, indipendenti da Spring Security. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Spring Security vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

• 3.3.x: <= 3.3.20

• 3.4.x: <= 3.4.3

Risoluzione:

• 3.3.x: -

• 3.4.x: 3.4.4