Broadcom teilte am Dienstag, dem 27. Oktober, mit, dass das Unternehmen vor der öffentlichen Bekanntgabe Korrekturen für 89 Sicherheitslücken in TrueSource Spring Enterprise an Betreiber kritischer Infrastrukturen und andere berechtigte Kunden mit Early Access ausgeliefert habe. Außerdem stellte das Unternehmen Tools vor, die Firmen dabei helfen sollen, betroffene Anwendungen zu identifizieren und Patches bereitzustellen.
Für Sicherheitsteams lautet die praktische Frage, welche Anwendungen diese Korrekturen benötigen und ob die Updates die Produktionsumgebung erreichen. Das Auffinden einer anfälligen Abhängigkeit, die Genehmigung einer Änderung und die Bestätigung der Bereitstellung sind voneinander getrennte Schritte.
Neue Tools schließen Lücke beim Patchen
Broadcom räumte ein, dass Patches Systeme erst schützen, wenn sie bereitgestellt wurden – ein zentrales Anliegen im Patch-Management. Um diese Lücke zu schließen, ergänzte das Unternehmen TrueSource Hub. Der Dienst stellt eine Verbindung zu Code-Repositories her und bietet einen Live-Überblick darüber, welche Spring-Anwendungen Korrekturen benötigen und für welche Versionen der Support ausgelaufen ist.
Das Unternehmen stellte außerdem Build-Plugins für Application Advisor vor, die sich in bestehende Maven- und Gradle-Workflows integrieren und automatisch Pull Requests für genehmigte Korrekturen erzeugen. Zusätzlich liefert eine Integration mit JFrog Zero-Touch Remediation verifizierte Korrekturen direkt in Builds aus.
Umfang der Maßnahmen
Broadcom berichtete, dass seine Ingenieure im Jahr 2026 406 neue Sicherheitslücken in Spring- und Reactor-Bibliotheken behoben und insgesamt mehr als 1.090 Korrekturen ausgeliefert hätten, darunter 798 Backports. Das Team prüfte mehr als 2.600 Sicherheitsberichte und filterte über 3.000 Fehlalarme heraus.
Zu den früheren Korrekturen gehörten CVE-2026-41855, eine schwerwiegende Deserialisierungsschwachstelle im Spring Framework, die nicht vertrauenswürdige JMS-Umgebungen betrifft; CVE-2026-47691, eine Schwachstelle in Netty, durch die der DNS-Cache vergiftet werden kann und die von den Betreuern derzeit mit 8,7 bewertet wird; sowie CVE-2026-67404, eine mit 9,2 bewertete RabbitMQ-Schwachstelle, die unter bestimmten OAuth2- und Zertifikatkonfigurationen gefälschte Authentifizierungstoken ermöglichen könnte.
„Sicherheit ist keine einmalige Initiative, sondern eine fortlaufende Verpflichtung“, sagte Purnima Padmanabhan, General Manager der Tanzu Division von Broadcom. „Im Juni haben wir zugesagt, Spring-Sicherheitslücken schneller als je zuvor zu identifizieren und zu beheben. Die heutige Veröffentlichung zeigt, dass wir diesen Schwung beibehalten.“
Was Sicherheitsteams vor der Bereitstellung von Korrekturen überprüfen sollten
Beginnen Sie damit, Spring-Anwendungen ihren Abhängigkeiten, unterstützten Release-Zweigen und den jeweils verantwortlichen Anwendungsinhabern zuzuordnen. Fragen Sie Broadcom, welche der neu angekündigten Korrekturen auf diese Bereitstellungen zutreffen und ob die Organisation für Early Access qualifiziert ist. Die Zahl der Sicherheitslücken im gesamten Portfolio sagt nichts darüber aus, wie stark eine einzelne Anwendung betroffen ist.
Die Plugins für Application Advisor erzeugen überprüfbare Pull Requests, während die JFrog-Integration Korrekturen direkt in Builds ausliefert, so Broadcom. Teams sollten festlegen, welchen Weg jede Anwendung nutzt, wer Änderungen genehmigt und welche Tests vor der Bereitstellung erfolgreich durchlaufen werden müssen. Automatisiertes Patch-Management sollte sich in bestehende Änderungsfreigaben und Rollback-Verfahren einfügen.
Auch die Kompatibilität mit bestehenden Tools für das Schwachstellenmanagement muss geprüft werden. Broadcom beschreibt die Anerkennung seiner gepatchten Spring-Versionen durch Snyk als fortlaufende Partnerschaft. Vergewissern Sie sich vor dem Unterdrücken eines Befunds, dass der eingesetzte Scanner das exakt gepatchte Artefakt erkennt. Bewahren Sie die Herstellerberatung und Paketnachweise auf, die diese Entscheidung stützen.
Build-Aufzeichnungen können dokumentieren, welche Bibliotheken eine Anwendung enthält. Teams sollten jedoch zusätzlich überprüfen, ob das daraus hervorgegangene Artefakt die laufende Workload erreicht hat. Ein zusammengeführter Pull Request oder ein erfolgreicher Build sollte für sich genommen kein Behebungsticket schließen.
Vor der Einführung des Workflows sollten IT-Verantwortliche die Lizenzkosten, Anforderungen an den Repository-Zugriff, Exporte von Auditdaten und die Kompatibilität mit bestehenden Sicherheitstools klären. Entscheidend ist, ob der Prozess die Zeit verkürzt, in der betroffene Anwendungen weiterhin exponiert sind, und zugleich Nachweise für Tests, Genehmigung und Bereitstellung bewahrt.
Broadcom zufolge ist TrueSource Spring Enterprise einschließlich Hub und der Build-Plugins allgemein verfügbar. Der Zugriff auf die neu angekündigten Korrekturen ist zunächst auf berechtigte Kunden mit Early Access und Betreiber kritischer Infrastrukturen beschränkt. Öffentliche Details zu den Sicherheitslücken und die Veröffentlichung der CVEs sollen folgen.
Mehr lesen: Für Patch-Anforderungen über Spring-Anwendungen hinaus, vergleichen Sie Anbieter für Patch-Management anhand von Abdeckung, Automatisierung und Bereitstellungskontrollen , um zu beurteilen, wie sie in Ihre umfassendere Umgebung passen.