Heise Online27.04.2026Technik1 dk okumaGermany

Neun Sicherheitslücken in VMware Tanzu Spring Boot geschlossen

Kritische Authentifizierungslücke ermöglicht unbefugten Zugriff auf alle Endpoints

Auf einen Blick

VMware hat neun Sicherheitslücken in Tanzu Spring Boot geschlossen, darunter eine kritische Authentifizierungslücke (CVE-2026-40976).
Admins müssen auf Version 3.5.14 oder 4.0.6 upgraden.
Auch nicht mehr unterstützte Versionen sind verwundbar.

KI-generierte Zusammenfassung

Warum es wichtig ist

VMware Tanzu Spring Boot ist ein Framework für die Entwicklung von Java-Anwendungen. Die kritische Lücke CVE-2026-40976 betrifft den Security Filter Chain und ermöglicht bei bestimmten Konfigurationen unbefugten Zugriff auf alle Endpoints.

Schriftgröße

Angreifer können an mehrere Sicherheitslücken in VMware Tanzu Spring Boot ansetzen und Instanzen im schlimmsten Fall vollständig kompromittieren. Sicherheitsupdates sind verfügbar. Derzeit gibt es seitens des Softwareherstellers keine Berichte, dass Angreifer die Lücken bereits ausnutzen.

Unbefugte Zugriffe möglich

Die Entwickler versichern, die Sicherheitsprobleme in den Ausgaben 3.5.14 und 4.0.6 gelöst zu haben. Sie weisen zusätzlich darauf hin, dass auch nicht mehr im Support befindliche Versionen verwundbar sind. An dieser Stelle müssen Admins auf eine noch untersützte Version upgraden. Insgesamt wurden neun Schwachstellen geschlossen.

Wie aus einer Warnmeldung hervorgeht, ist eine (CVE-2026-40976) mit dem Bedrohungsgrad „kritisch“ eingestuft. Weil die Authentifizierung nicht verlässlich funktioniert, können Angreifer auf alle Endpoints zugreifen. Damit eine solche Attacke klappt, müssen aber mehrere in der Warnmeldung aufgelisteten Voraussetzungen erfüllt sein. So muss es sich etwa um eine Servlet-basierte Web-Anwendung handeln. Wie ein derartiger Angriff im Detail ablaufen könnte, ist bislang unklar.

Weitere Gefahren

Ferner können Angreifer noch unter anderem aus der Ferne Schadcode ausführen (CVE-2026-40972 „hoch") oder Instanzen dazu bringen, sich mit bösartigen Hosts zu verbinden (CVE-2026-40974 „mittel"). Weitere Informationen zu den geschlossenen Softwareschwachstellen und bedrohten Versionen finden Admins in den verlinkten Warnmeldungen.

Liste nach Bedrohungsgrad absteigend sortiert:

CVE-2026-40976: Default security filter chain has no authorization rule with Actuator but without Health CVE-2026-40972: DevTools remote secret comparison is vulnerable to timing attacks CVE-2026-40973: Predictable temp directory accepted without ownership verification CVE-2026-40970: Elasticsearch auto-configuration with an SSL bundle disables TLS hostname verification CVE-2026-40971: RabbitMQ auto-configuration with an SSL bundle disables TLS hostname verification CVE-2026-40974: Cassandra SSL auto-configuration disables TLS hostname verification CVE-2026-40975: Random value property source uses a weak PRNG unsuitable for secrets CVE-2026-40977: PID file write follows symlinks at predictable default path

Zuletzt haben die Entwickler mehrere Sicherheitslücken in VMware Tanzu Spring Security geschlossen.