Spring - CVE-2026-59270

Il s'agit d'une vulnérabilité de configuration par défaut non sécurisée dans le composant UnboundIdContainer de Spring Security. Ce serveur LDAP embarqué enregistre inconditionnellement un identifiant administrateur connu (bind DN "well-known") et lie son écouteur réseau à l'ensemble des interfaces disponibles de la machine, y compris les interfaces accessibles depuis l'extérieur, au lieu de se limiter à l'hôte local. La faille est exploitable dès lors que l'application utilise UnboundIdContainer, directement ou via l'auto-configuration Spring Boot (propriétés spring.ldap.embedded.*), et que le port du serveur LDAP est accessible depuis la position réseau de l'attaquant. Un attaquant capable d'atteindre ce port peut s'authentifier avec l'identifiant administrateur documenté, sans en connaître un secret spécifique à l'instance. Elle permet de lire et de modifier les entrées de l'annuaire en mémoire.

Spring Security est un framework Java d'authentification et d'autorisation, intégré aux applications construites sur l'écosystème Spring. Il propose notamment un serveur LDAP embarqué basé sur UnboundID, destiné à faciliter les tests et le développement d'applications s'appuyant sur un annuaire LDAP.