CVE-2026-41848: ReDoS-sårbarhed i Spring Framework

CVE-2026-41848 er en sårbarhed i Spring Framework, der bruges i mange Java-baserede webapplikationer. Fejlen sidder i klassen AntPathMatcher, som afgør om en URL-sti matcher et bestemt mønster. Hvis en angriber kan styre eller påvirke det mønster, der sendes til metoderne match, matchStart eller extractUriTemplateVariables, kan et særligt konstrueret mønster gøre regulært udtryk (et søgemønster brugt til at genkende tekst) ekstremt langsomt at behandle. Det kaldes ReDoS, Regular Expression Denial of Service, og kan bruges til at trække CPU-ressourcer og gøre applikationen langsom eller utilgængelig.

Sårbarheden rammer applikationer bygget på Vmware Spring Framework i versionerne 5.3.0 til og med 5.3.48, 6.1.0 til og med 6.1.27, 6.2.0 til og med 6.2.18 samt 7.0.0 til og med 7.0.7. Det gælder danske virksomheder og kommuner, der har egenudviklede Java-applikationer eller bruger tredjepartssystemer bygget på Spring, og hvor applikationens sti-mønstre helt eller delvist kan påvirkes af brugerinput, for eksempel via konfigurerbare ruter, filtre eller integrationer.

I praksis betyder det, at en angriber, der kan indsende et bestemt mønster til applikationen, kan få den til at bruge uforholdsmæssigt meget CPU-tid på en enkelt forespørgsel. Gentages det, kan applikationen blive langsom eller helt utilgængelig for almindelige brugere. Der er ingen risiko for, at data læses, ændres eller slettes, konsekvensen er alene nedsat eller stoppet drift.

CVSS-scoren er 3,7 ud af 10, hvilket er lavt. Angrebet kræver ikke login og ingen handling fra en bruger, men det kræver høj angrebskompleksitet, det vil sige, at angriberen skal have specifik indsigt i, hvordan applikationens sti-mønstre er bygget op, og typisk mulighed for selv at styre eller påvirke et mønster. Der er ikke offentliggjort proof of concept eller kendte tilfælde af udnyttelse i det fri.

Sårbarheden lukkes ved at opdatere Spring Framework til en rettet version. Følg disse trin:

1. Opgradér Spring Framework til version 5.3.49, 6.1.28, 6.2.19 eller 7.0.8, afhængigt af hvilken linje jeres applikation kører på.
2. Kortlæg, hvilke af jeres Java-applikationer der bruger Spring Framework, og i hvilken version, herunder tredjepartssystemer og biblioteker, der bygger videre på Spring.
3. Gennemgå kode og konfiguration for steder, hvor sti-mønstre til AntPathMatcher kan påvirkes af brugerinput, og begræns hvor muligt hvor frit et mønster kan defineres.
4. Test opdateringen i jeres test- eller staging-miljø, før den rulles ud i produktion.
5. Overvåg CPU-forbrug på applikationsservere, så en eventuel udnyttelse opdages hurtigt.
6. Kontakt Auroa eller jeres udviklingsleverandør, hvis I ikke selv kan afgøre, om jeres kodebase er påvirket, eller hvis opdateringen kræver ændringer i egenudviklet kode.