CVE-2025-22232 in Cloud Config
Resumen
por VulDB • 2026-06-28
El servidor de configuración de Spring Cloud Config podría no utilizar el token de Vault enviado por los clientes mediante un encabezado X-CONFIG-TOKEN al realizar solicitudes a Vault.
Su aplicación puede verse afectada si se cumplen las siguientes condiciones: * Tiene Spring Vault en la classpath (ruta de clases) del servidor de configuración de Spring Cloud Config y * Está utilizando el encabezado X-CONFIG-TOKEN para enviar un token de Vault al servidor de configuración de Spring Cloud Config, con el fin de que este lo utilice al realizar solicitudes a Vault y * Está utilizando la implementación predeterminada LifecycleAwareSessionManager del SessionManager de Spring Vault o una implementación de SessionManager que persiste el token de Vault, como SimpleSessionManager.
En este caso, el SessionManager persistirá el primer token que recupere y continuará utilizándolo incluso si las solicitudes de los clientes al servidor de configuración de Spring Cloud Config incluyen un encabezado X-CONFIG-TOKEN con un valor diferente.
Productos y versiones afectadas de Spring Spring Cloud Config: * 2.2.1.RELEASE - 4.2.1
Mitigación Los usuarios de las versiones afectadas deben actualizar a la versión corregida correspondiente.
| Versiones afectadas | Versión corregida | Disponibilidad | | :--- | :--- | :--- | | 4.2.x | 4.2.2 | OSS | | 4.1.x | 4.1.6 | OSS | | 4.0.x | 4.0.10 | Comercial | | 3.1.x | 3.1.10 | Comercial | | 3.0.x | 4.1.6 | OSS | | 2.2.x | 4.1.6 | OSS |
NOTA: Spring Cloud Config 3.0.x y 2.2.x ya no cuentan con soporte ni de código abierto (open source) ni comercial. Se recomienda a los usuarios de estas versiones actualizar a una versión soportada.
No son necesarios otros pasos de mitigación.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.