CVE-2026-59277

Data: 2026-09-03

Severity: Medium

CVSS Score: 5.3 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N)

Riferimenti:

• https://nvd.nist.gov/vuln/detail/CVE-2026-59277

• https://spring.io/security/cve-2026-59277

Libreria: org.springframework.security:spring-security-core (versioni affette: 7.1.0)

Descrizione

CWE-693: Protection Mechanism Failure

Spring Security’s InetAddressMatchers utility provides matchInternal() and matchExternal() builders for constructing an InetAddressMatcher that classifies a given IP address as belonging to an internal (private) or external (public) network. Affected versions: Spring Security 7.1.0.

The internal address classification did not recognize the IPv4 and IPv6 «any local» addresses (0.0.0.0 and ::) as internal. As a result, matchExternal() incorrectly classified these addresses as external, and matchInternal() failed to classify them as internal.

An address of 0.0.0.0 or ::, which is typically routed to the local host, could bypass a network-based access control check intended to restrict or block internal network access.

GovWay

La classe vulnerabile org.springframework.security.util.matcher.InetAddressMatchers, introdotta in Spring Security 7.1.0, appartiene al modulo spring-security-core, incluso nella distribuzione di GovWay, ma non è utilizzata dal prodotto.

I controlli di GovWay basati sull’indirizzo IP del chiamante - autenticazione e autorizzazione per indirizzo, filtri sugli indirizzi ammessi, gestione dei forwarded header - sono realizzati con logica propria (es. org.openspcoop2.utils.transport.http.HttpClientAddressSanitizer per la normalizzazione degli indirizzi ricavati dagli header di forwarding), indipendente da Spring Security. Per questi motivi la vulnerabilità non si manifesta nel prodotto.

Le librerie di Spring Security vengono comunque aggiornate alla prima versione in rilascio.

Versione affette:

• 3.3.x: non affetta (utilizza Spring Security 5.8.x)

• 3.4.x: <= 3.4.3

Risoluzione:

• 3.3.x: -

• 3.4.x: 3.4.4