CVE-2026-41838: Forudsigelige session-id’er i Spring websocket

CVE-2026-41838 er en svaghed i Spring Frameworks websocket-modul, spring-websocket, der bruges til at holde faste, tovejs-forbindelser mellem browser og server, for eksempel til chat eller live-opdateringer. Modulet genererer session-id’er, altså de unikke koder der identificerer en aktiv forbindelse, på en måde der ikke er kryptografisk uforudsigelig. Det betyder, at id’erne i teorien kan gættes eller udledes af en, der kender mønsteret. Kombineret med utilstrækkelige adgangsregler i applikationen kan det give en angriber adgang til en andens websocket-session. Fejlen er kategoriseret som CWE-330, brug af utilstrækkeligt tilfældige værdier.

Sårbarheden rammer virksomheder, der bruger Spring Framework med spring-websocket-modulet i egenudviklede Java-applikationer, for eksempel webshops med live-chat, dashboards med realtidsdata eller interne systemer med push-beskeder. Berørte versioner er Spring Framework 5.3.0 til og med 5.3.48, 6.1.0 til og med 6.1.27, 6.2.0 til og med 6.2.18 og 7.0.0 til og med 7.0.7. Er I ikke sikre på, om jeres udviklere eller leverandør bruger websocket-funktionalitet, er det et spørgsmål til dem, ikke noget I kan se udefra.

Kan en angriber forudsige eller gætte et gyldigt session-id, og har applikationen ikke tilstrækkelig kontrol af, hvem der må tilgå den pågældende session, kan angriberen læse data fra en anden brugers websocket-forbindelse. I praksis kan det betyde indblik i beskeder, statusopdateringer eller andet indhold, der sendes over forbindelsen. Fejlen påvirker kun fortrolighed, altså at data kan læses af uvedkommende. Den giver ikke mulighed for at ændre data eller lukke systemet ned.

CVSS-scoren er 4,8 ud af 10, moderat. Angrebet kræver netværksadgang, men også høj angrebskompleksitet, det vil sige, at angriberen skal opfylde flere specifikke betingelser for at lykkes. Der kræves lave rettigheder, altså en form for eksisterende adgang, og en brugerhandling, for eksempel at offeret klikker på et link eller besøger en side. Der er ikke oplyst tegn på aktiv udnyttelse af sårbarheden. Kombinationen af høj kompleksitet og krav om brugerinteraktion gør, at det ikke er en fejl, der udnyttes bredt eller automatisk.

Prioritér opdatering af Spring Framework, men uden panik, da kompleksiteten i at udnytte fejlen er høj.

1. Opdatér Spring Framework til version 5.3.49, 6.1.28, 6.2.19 eller 7.0.8 alt efter hvilken hovedversion I kører.
2. Bed jeres udviklere eller leverandør bekræfte, om applikationen faktisk bruger spring-websocket-modulet, og om der er lagt uafhængige adgangskontroller på websocket-endepunkter.
3. Gennemgå autorisationslogikken for websocket-sessioner, så et gættet session-id alene ikke er nok til at få adgang til andres data.
4. Test opdateringen i et testmiljø, hvis I har et, før den rulles ud i produktion.
5. Overvåg logs for usædvanlige mønstre i websocket-forbindelser i perioden efter offentliggørelsen.
6. Hent hjælp udefra, hvis I ikke selv har udviklere, der kan vurdere jeres brug af Spring Framework, eller hvis I er i tvivl om jeres autorisationsregler.