CVE-2026-41851: DoS-fejl i Spring Framework via SpEL

CVE-2026-41851 er en fejl i Vmware Spring Framework, som er et meget brugt udviklingsgrundlag til Java-applikationer. Fejlen ligger i håndteringen af SpEL, Spring Expression Language, som er et sprog til at skrive dynamiske udtryk i en applikation, for eksempel til at filtrere eller beregne data. Hvis en applikation lader brugere indtaste eget SpEL-udtryk, kan evalueringen af udtrykket få en intern cache til at vokse uden grænse. Cachen bliver aldrig ryddet op, og over tid fylder den så meget hukommelse, at applikationen bliver langsom eller går ned. Fejlen kræver ikke login og ingen handling fra en bruger udover at sende det skadelige udtryk til applikationen.

Det rammer virksomheder, kommuner og andre organisationer, der har egenudviklede Java-applikationer bygget på Spring Framework, og hvor applikationen tillader brugere at indtaste eller sende SpEL-udtryk. Det gælder typisk regelmotorer, avancerede søge- og filterfunktioner eller integrationer, hvor brugerens input bruges direkte i et SpEL-udtryk. De sårbare versioner er Spring Framework 5.3.0 til og med 5.3.48, 6.1.0 til og med 6.1.27, 6.2.0 til og med 6.2.18 og 7.0.0 til og med 7.0.7. Applikationer, der ikke bruger SpEL på brugerstyret input, er ikke berørt.

I praksis kan en angriber sende gentagne eller specielt formede SpEL-udtryk til en berørt applikation, hvilket får serverens hukommelsesforbrug til at stige gradvist. Konsekvensen er, at applikationen bliver langsom, holder op med at svare eller går ned, hvilket rammer den tilgængelighed, kunder og medarbejdere har brug for. Der er ikke risiko for, at data bliver læst eller ændret, kun risiko for driftsstop.

CVSS-scoren er 5,3, moderat. Sårbarheden kan udnyttes over netværket uden login og uden brugerhandling, hvilket normalt trækker risikoen op. Men konsekvensen er begrænset til tilgængelighed, altså at systemet kan blive langsomt eller gå ned, ikke at data læses eller ændres. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, og der findes ingen offentligt tilgængelig angrebskode.

Det vigtigste er at opgradere Spring Framework til en rettet version. Herefter kan I begrænse risikoen yderligere.

1. Opgrader Spring Framework til 5.3.49, 6.1.28, 6.2.19 eller 7.0.8, afhængigt af hvilken sporlinje jeres applikation bruger.
2. Kortlæg jeres Java-applikationer og find dem, der bruger Spring Framework i en af de sårbare versioner.
3. Undersøg, om applikationen tillader brugere at indtaste eller sende SpEL-udtryk direkte, og begræns eller valider dette input, hvis muligt.
4. Overvåg hukommelsesforbrug og svartider på berørte systemer, indtil opdateringen er rullet ud.
5. Test opdateringen i et testmiljø, hvis applikationen er forretningskritisk, før den sættes i drift.
6. Kontakt en ekstern samarbejdspartner, hvis I ikke selv har overblik over, hvilke applikationer der bruger Spring Framework, eller hvor SpEL bruges på brugerinput.