CVE-2025-22228

最新推荐文章于 2025-04-29 09:28:25 发布

GalaxySpaceX

最新推荐文章于 2025-04-29 09:28:25 发布

阅读量609

点赞数 6

分类专栏：漏洞分析文章标签：安全

本文链接：https://blog.csdn.net/galaxyspacex/article/details/146520496

版权

漏洞分析专栏收录该内容

14 篇文章

订阅专栏

前言：

最新扫描jar包发现spring-security-crypto新出了个漏洞CVE-2025-22228，详细信息如下：

https://spring.io/security/cve-2025-22228

漏洞分析：

看了下具体漏洞位于密码比对的地方位于org.springframework.security.crypto.bcrypt下的String hashpw(byte[] passwordb, String salt, boolean for_check)方法

看了下只要是超过72位后加密的密码都相同，测试了下，代码如下

package org.example;

import org.springframework.security.crypto.bcrypt.BCrypt;
import org.springframework.security.crypto.bcrypt.BCryptPasswordEncoder;

public class Main {
    public static void main(String[] args) {

        // 原始密码
        String password1 = "123456789012345678901234567890123456789012345678901234567890123456789012";
        String password2 = "123456789012345678901234567890123456789012345678901234567890123456789012aaaaaaa";
        // 生成盐值
        String salt = BCrypt.gensalt();

        // 使用推荐的方法进行哈希处理
        String hashedPassword1 = BCrypt.hashpw(password1, salt);
        String hashedPassword2 = BCrypt.hashpw(password2, salt);

        // 输出哈希后的密码
        System.out.println("Hashed Password: " + hashedPassword1);
        System.out.println("Hashed Password: " + hashedPassword2);


    }
}

可以看到只要加密的密码长度大于72个字符，后面的字符无论是什么加密产生的结果都相同

这个就很鸡肋了，有谁设置密码会大于等于72个字符，所以基本没啥用；

漏洞修复：

5.8.16及以下版本不再提供修复版本，除非付费的企业用户

因此需要修改源代码来修复该问题，首先安装环境需要jdk11及以上版本，另外需要安装 apache-groovy-sdk

https://groovy.jfrog.io/ui/native/dist-release-local/groovy-zips/apache-groovy-sdk-3.0.10.zip

安装成功后，需要修复如下代码

org.springframework.security.crypto.bcrypt的private static String hashpw(byte passwordb[], String salt, boolean for_check) 方法中添加

		if (passwordb.length > 72) {
			throw new IllegalArgumentException("password cannot be more than 72 bytes");
		}

另外org.springframework.security.crypto.bcrypt下添加检测方法enforcePasswordLength

	@Test
	public void enforcePasswordLength() {
		BCryptPasswordEncoder encoder = new BCryptPasswordEncoder();
		String password72chars = "123456789012345678901234567890123456789012345678901234567890123456789012";
		assertThat(encoder.matches(password72chars, encoder.encode(password72chars))).isTrue();
		String password73chars = password72chars.concat("a");
		assertThatIllegalArgumentException()
			.isThrownBy(() -> encoder.matches(password73chars, encoder.encode(password73chars)));
	}