领先一步
VMware 提供培训和认证，助您加速进步。
了解更多CVE-2025-22228: Spring Security BCryptPasswordEncoder 未强制执行最大密码长度
描述
BCryptPasswordEncoder.matches(CharSequence,String) 对超过 72 个字符的密码会错误地返回 true，只要前 72 个字符相同即可。
受影响的 Spring 产品和版本
Spring Security
- 5.7.0 - 5.7.15
- 5.8.0 - 5.8.17
- 6.0.0 - 6.0.15
- 6.1.0 - 6.1.13
- 6.2.0 - 6.2.9
- 6.3.0 - 6.3.7
- 6.4.0 - 6.4.3
- 较旧的、不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响版本 | 修复版本 | 可用性 |
|---|---|---|
| 5.7.x | 5.7.16 | 仅限企业支持 |
| 5.8.x | 5.8.18 | 仅限企业支持 |
| 6.0.x | 6.0.16 | 仅限企业支持 |
| 6.1.x | 6.1.14 | 仅限企业支持 |
| 6.2.x | 6.2.10 | 仅限企业支持 |
| 6.3.x | 6.3.8 | OSS |
| 6.4.x | 6.4.4 | OSS |
致谢
此问题由 Lars Bruun-Hansen ([email protected]) 发现并负责任地报告。
参考资料
报告漏洞
要报告 Spring 组合项目中存在的安全漏洞，请参阅安全策略