CVE-2026-59276

Data: 2026-09-03

Severity: Medium

CVSS Score: 5.9 (CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N)

Nota

La severity e il CVSS Score si riferiscono alla vulnerabilità della libreria. Come descritto nella sezione GovWay, la vulnerabilità non si manifesta nel prodotto, poiché i componenti interessati non sono utilizzati da GovWay.

Riferimenti:

Libreria: org.springframework.security Spring Security (versioni affette: 5.7.0 - 5.7.25, 5.8.0 - 5.8.27, 6.4.0 - 6.4.18, 6.5.0 - 6.5.11, 7.0.0 - 7.0.6, 7.1.0)

Descrizione

CWE-208: Observable Timing Discrepancy

Several components in Spring Security compare security-sensitive values using standard string equality (String.equals()) rather than a constant-time comparison. Because String.equals() returns as soon as it finds a differing character, the time taken to reject an incorrect value is proportional to the number of leading characters that match the expected value. Affected versions: Spring Security 7.1.0; 7.0.0 through 7.0.6; 6.5.0 through 6.5.11; 6.4.0 through 6.4.18; 5.8.0 through 5.8.27; 5.7.0 through 5.7.25.

GovWay

I componenti interessati dalla vulnerabilità sono DigestAuthenticationFilter (modulo spring-security-web), KeyBasedPersistenceTokenService (spring-security-core), BalloonHashingPassword4jPasswordEncoder e Pbkdf2Password4jPasswordEncoder (spring-security-crypto) e InMemoryOAuth2AuthorizationService (spring-security-oauth2-authorization-server, modulo non distribuito).

Nessuno di tali componenti è utilizzato da GovWay: l’autenticazione delle console si basa su AuthenticationProvider e UserDetailsService propri e la verifica delle password sul solo SCryptPasswordEncoder; il prodotto non utilizza l’autenticazione HTTP Digest di Spring Security, i servizi di token basati su chiave, gli encoder Password4j né l’Authorization Server OAuth2. Le verifiche di credenziali effettuate dal gateway sul traffico applicativo sono realizzate con logica propria, indipendente da Spring Security. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Spring Security vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

  • 3.3.x: <= 3.3.20

  • 3.4.x: <= 3.4.3

Risoluzione:

  • 3.3.x: -

  • 3.4.x: 3.4.4