领先一步
VMware 提供培训和认证，以加速您的进步。
了解更多CVE-2025-22234：Spring Security BCryptPasswordEncoder 最大密码长度破坏了时序攻击缓解措施
描述
在 CVE-2025-22228 中应用的修复程序无意中破坏了在 DaoAuthenticationProvider 中实现的时序攻击缓解措施。
受影响的 Spring 产品和版本
Spring Security
- 仅限 5.7.16
- 仅限 5.8.18
- 仅限 6.0.16
- 仅限 6.1.14
- 仅限 6.2.10
- 仅限 6.3.8
- 仅限 6.4.4
- 较旧的、不受支持的版本也受到影响
缓解措施
受影响版本的用户应升级到相应的修复版本。
| 受影响的版本 | 修复版本 | 可用性 |
|---|---|---|
| 5.7.16 | 5.7.17 | 仅企业支持 |
| 5.8.18 | 5.8.19 | 仅企业支持 |
| 6.0.16 | 6.0.17 | 仅企业支持 |
| 6.1.14 | 6.1.15 | 仅企业支持 |
| 6.2.10 | 6.2.11 | 仅企业支持 |
| 6.3.8 | 6.3.9 | 开源 |
| 6.4.4 | 6.4.5 | 开源 |
鸣谢
该问题由 Jonas Robl 发现并负责任地报告（[email protected]）。
参考
报告漏洞
要报告 Spring 产品组合中的项目的安全漏洞，请参阅安全策略