CVE-2026-41838: Spring Framework WebSocket-sårbarhed

Spring Framework er et meget udbredt udviklingsværktøj, som mange virksomheders hjemmesider og webapplikationer er bygget på. I modulet til WebSocket (en teknologi der holder en løbende forbindelse åben mellem bruger og server, f.eks. til chat eller live-opdateringer) bruges der session-ID’er (unikke identifikationsnumre) til at holde styr på, hvem der er hvem. Problemet er, at disse ID’er ikke er tilfældige nok — en angriber kan i princippet gætte dem. Hvis en applikation derudover ikke tjekker ordentligt, om brugeren har adgang til en given session, kan angriberen snige sig ind og læse data, der ikke tilhører dem.

Sårbarheden rammer dig, hvis din virksomhed driver en webapplikation, der er bygget med Spring Framework i en af de berørte versioner (5.3.0–5.3.48, 6.1.0–6.1.27, 6.2.0–6.2.18 eller 7.0.0–7.0.7), og som bruger WebSocket-funktionalitet. Det er typisk relevant for:

• Virksomheder med egne webudviklere eller et eksternt bureau, der har bygget en Java-baseret webapplikation.
• SaaS-produkter eller interne systemer med realtidsfunktioner som notifikationer, chat eller live-dataopdateringer.
• Virksomheder der kører Spring Boot (som inkluderer Spring Framework).

Bruger din applikation ikke WebSocket, er du ikke i umiddelbar risiko.

En angriber med en gyldig brugerkonto i applikationen kan forsøge at gætte andre brugeres WebSocket-session-ID’er. Lykkes det — og hvis applikationen ikke har strenge adgangskontrolregler — kan angriberen:

• Læse fortrolige data fra andre brugeres sessioner, f.eks. beskeder, persondata eller forretningsinformation der sendes over WebSocket-forbindelsen.
• Overvåge andre brugeres aktivitet i realtid uden at de opdager det.

Angriberen kan ikke ændre data eller lukke systemet ned via denne sårbarhed. Det er udelukkende et fortrolighedsproblem. Angrebet kræver desuden, at en anden bruger er aktiv på samme tid, og at angriberen allerede har adgang til systemet.

Sårbarheden er vurderet til moderat (CVSS 4.8 ud af 10). Det er ikke en kritisk fejl, men den bør ikke ignoreres. Her er hvad der dæmper og hvad der forstærker risikoen:

• Dæmpende faktorer: Angrebet er teknisk komplekst — det kræver, at angriberen allerede er logget ind, at timingen er rigtig, og at applikationens adgangskontrol er svag. En bruger skal desuden aktivt interagere.
• Forstærkende faktor: Hvis der lækkes data, kan konsekvensen være høj — CVSS sætter fortrolighedspåvirkningen til maksimal. For virksomheder med GDPR-forpligtelser kan en datalæk have alvorlige juridiske konsekvenser.

Spørg din udvikler eller IT-leverandør, om jeres webapplikation bruger Spring Framework og WebSocket. Hvis ja, bør I gøre følgende:

1. Identificér versionen: Bed jeres udvikler tjekke, hvilken version af Spring Framework applikationen kører. Er den i intervallet 5.3.0–5.3.48, 6.1.0–6.1.27, 6.2.0–6.2.18 eller 7.0.0–7.0.7, er I potentielt sårbare.
2. Opdatér til en rettet version: Bed jeres udvikler opgradere til minimum Spring Framework 5.3.49, 6.1.28, 6.2.19 eller 7.0.8 afhængigt af hvilken version I bruger.
3. Gennemgå adgangskontrol: Bed jeres udvikler bekræfte, at applikationen kun giver brugere adgang til deres egne WebSocket-sessioner — dette er god praksis uanset opdatering.
4. Test efter opdatering: Sørg for at applikationen testes grundigt efter opdateringen, så I sikrer, at alt virker som forventet.
5. Dokumentér ændringen: Notér opdateringen i jeres ændringslog og vurder, om I skal orientere databehandleraftaler eller GDPR-ansvarlige internt.