CVE-2026-59283 в Debian: обход защиты SpEL, уязвимые версии и защита

CVE: CVE-2026-59283
Продукт: Debian
Дата публикации: 27.08.2026
Критичность: CRITICAL
CVSS: 9.1 (3.1)
EPSS: 0,35%; процентиль 28,27%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В Spring Framework обнаружена уязвимость, позволяющая обходить механизмы безопасности при оценке выражений SpEL. В дистрибутиве Debian это затрагивает пакет libspring-java. Статья разбирает техническую суть ошибки, статус исправлений в репозиториях Debian и методы проверки системы.

Основные характеристики​

Уязвимость позволяет атакующему обойти встроенные ограничения безопасности Spring Expression Language (SpEL), что может привести к выполнению произвольного кода или нарушению целостности данных. Риск классифицируется как критический, так как атака возможна удаленно без предварительной аутентификации.

• Тип ошибки: CWE-913 (Control Flow Bypass Using Unintended Route, Path, or Channel). Ошибка связана с обходом логических проверок безопасности.
  
• CVSS 3.1: 9.1 (CRITICAL). Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H. Высокие значения Impact (I:H, A:H) указывают на серьезное нарушение целостности и доступности.
  
• Условия атаки: Сеть (AV:N), низкая сложность (AC:L), отсутствие прав (PR:N), отсутствие взаимодействия пользователя (UI:N).
  
• Эксплуатация: В каталоге CISA KEV подтверждений активной эксплуатации в дикой природе нет.
  
• EPSS: 0,35% (процентиль 28,27%). Вероятность эксплуатации в ближайшие 30 дней оценивается как низкая, но не нулевая.
  

Какие продукты и версии затронуты​

В экосистеме Debian уязвимость затрагивает пакет libspring-java, который предоставляет библиотеки Spring Framework для Java-приложений.

Согласно данным Debian Security Tracker, статус уязвимости во всех поддерживаемых и тестовых релизах Debian на момент публикации составляет open (не исправлено). Приоритет исправления в Debian классифицирован как unimportant, что обычно означает, что пакет не считается критически важным для базовой безопасности системы или требует ручного обновления.

Затронутые версии пакетов в репозиториях Debian:

• bookworm: 4.3.30-2
  
• bullseye: 4.3.30-1
  
• forky: 4.3.30-4
  
• sid: 4.3.30-4
  
• trixie: 4.3.30-3
  

Эти версии пакетов Debian соответствуют уязвимым версиям Spring Framework (5.2.25.RELEASE и ранее, 5.3.0 - 5.3.49, 6.0.0 - 6.0.30, 6.1.0 - 6.1.28, 6.2.0 - 6.2.19, 7.0.0 - 7.0.8), указанным в описании CVE.

Причина уязвимости​

Причина уязвимости кроется в механизме компиляции выражений Spring Expression Language (SpEL). Когда в приложении активирован компилятор SpEL, возникает возможность обхода защитных ограничений, установленных в SimpleEvaluationContext.

SimpleEvaluationContext предназначен для безопасной оценки выражений, ограничивая доступ к опасным функцииям и объектам Java. Однако при активном компиляторе атакующий может сформировать такое выражение, которое обойдет эти проверки, получив доступ к функциям, которые должны были быть заблокированы. Это нарушает границу доверия между безопасным контекстом оценки и произвольным кодом.

Как работает атака​

Атака эксплуатирует логическую ошибку в обработке скомпилированных выражений SpEL. Атакующий, имеющий возможность передать пользовательский ввод в приложение, которое использует SpEL для оценки выражений, может сформировать специфическую строку.

Если приложение использует SimpleEvaluationContext для оценки этого ввода, а компилятор SpEL включен, скомпилированный код может обойти ограничения контекста. Это позволяет выполнить действия, выходящие за рамки разрешенных операций, например, обращение к системным классам или выполнение произвольного кода. Механизм не требует обхода аутентификации, если входные данные принимаются от неаутентифицированных пользователей.

Условия успешной эксплуатации​

Для успешной эксплуатации уязвимости необходимо соблюдение следующих условий:

• Приложение использует Spring Framework в одной из уязвимых версий.
  
• В приложении активирован компилятор SpEL (Spring Expression Language).
  
• Приложение использует SimpleEvaluationContext для оценки выражений, содержащих пользовательский ввод.
  
• Атакующий имеет сетевой доступ к приложению и возможность передать управляемые данные в функцию оценки SpEL.
  
• В Debian пакет libspring-java установлен в одной из перечисленных уязвимых версий.
  

Возможный сценарий атаки​

Типичный сценарий атаки предполагает, что атакующий отправляет HTTP-запрос к уязвимому API или веб-странице. В параметре запроса, который попадает в функцию оценки SpEL, передается специально сформированное выражение.

Приложение, используя SimpleEvaluationContext, пытается безопасно оценить это выражение. Однако из-за активированного компилятора SpEL и логической ошибки в обходе защитных проверок, выражение компилируется и выполняется с расширенными привилегиями. В результате атакующий может выполнить произвольный код на сервере, получить доступ к конфиденциальным данным или нарушить целостность системы.

Есть ли публичный эксплойт​

На момент публикации информации о CVE-2026-59283 в каталоге CISA KEV нет подтверждений того, что уязвимость активно эксплуатируется в реальных атаках. Однако наличие публичного описания механизма обхода защиты и критический уровень CVSS 9.1 делают вероятным появление публичных эксплойтов и PoC-скриптов в ближайшее время.

Отсутствие записи в KEV не означает, что эксплойты не существуют. Разработчикам и администраторам следует считать, что код для эксплуатации может быть доступен или легко создан на основе публичной информации.

Признаки эксплуатации​

Специфичных индикаторов компрометации (IOC) для CVE-2026-59283 в предоставленных источниках не указано. Однако можно использовать общие, неспецифичные признаки атаки на Spring-приложения:

• Необычные запросы в логи веб-сервера, содержащие характерные для SpEL последовательности символов (например, T(java.lang.Runtime), new java.util.Date()).
  
• Внезапное появление новых процессов на сервере, запущенных от имени пользователя приложения.
  
• Необычная исходящая сетевая активность с сервера приложений.
  
• Изменения в файловой системе, связанные с созданием временных файлов или скриптов.
  

Как обнаружить атаку​

Для обнаружения атаки рекомендуется анализировать логи приложений и веб-серверов. Ищите запросы, которые могут содержать выражения SpEL, особенно если они приходят от неаутентифицированных пользователей.

Также полезно мониторить системные логи на предмет аномальной активности процессов, запущенных от имени пользователя, под которым работает Java-приложение. Если используется WAF (Web Application Firewall), проверьте его логи на срабатывания правил, связанных с инъекциями кода или SpEL.

Как проверить свою версию​

Для проверки версии установленного пакета libspring-java в Debian используйте следующие команды. Замените <имя-пакета> на libspring-java.

# Проверка версии пакета через dpkg
dpkg-query -W -f='${Package} ${Version}\n' libspring-java

# Альтернативный способ через apt-cache
apt-cache policy libspring-java

# Проверка версии системы Debian
cat /etc/debian_version
cat /etc/os-release

Сравните полученную версию с уязвимыми версиями, перечисленными в разделе «Какие продукты и версии затронуты». Если версия совпадает, система уязвима.

Исправление​

Основным способом устранения уязвимости является обновление пакета libspring-java до версии, содержащей исправление от разработчиков Spring Framework.

Однако, согласно данным Debian Security Tracker, на момент публикации CVE исправление еще не выпущено в репозиториях Debian (статус open, fixed_version: null). Поэтому:

• Отслеживайте обновления в Debian Security Tracker.
  
• Если возможно, обновите Spring Framework в приложении до исправленной версии напрямую (через Maven/Gradle), если это не противоречит политике управления пакетами Debian.
  
• После выпуска исправленного пакета в Debian выполните обновление через apt.
  

Временные меры защиты​

Пока исправление не выпущено, можно применить следующие временные меры:

• Отключите компилятор SpEL в конфигурации Spring Framework, если это технически возможно. Это устранит условие, необходимое для обхода защиты.
  
• Ограничьте доступ к эндпоинтам, которые обрабатывают пользовательский ввод через SpEL, допуская запросы только от аутентифицированных и доверенных пользователей.
  
• Используйте WAF для фильтрации запросов, содержащих подозрительные последовательности SpEL.
  
• Рассмотрите возможность временного отключения функций приложения, использующих SpEL для оценки пользовательского ввода.
  

Как проверить устранение уязвимости​

После применения исправления (обновления пакета или отключения компилятора SpEL) необходимо проверить, что уязвимость устранена.

• Убедитесь, что версия пакета libspring-java соответствует исправленной версии (если она будет выпущена).
  
• Проверьте конфигурацию приложения: компилятор SpEL должен быть отключен, если вы применили временную меру.
  
• Проведите тестирование уязвимых эндпоинтов с использованием безопасных инструментов сканирования, чтобы убедиться, что обход защиты больше не работает.
  

Вывод​

CVE-2026-59283 представляет серьезную угрозу для систем, использующих Spring Framework с активированным компилятором SpEL. В Debian пакет libspring-java в текущих версиях уязвим, и исправление еще не выпущено.

Администраторам следует внимательно отнестись к этой уязвимости, особенно если их приложения обрабатывают пользовательский ввод через SpEL. Рекомендуется отключить компилятор SpEL или ограничить доступ к уязвимым функциям до выхода официального обновления.

Официальные источники​

1. NVD — CVE-2026-59283
   
2. Debian Security Tracker — CVE-2026-59283
   
3. FIRST EPSS — CVE-2026-59283
   

История обновлений статьи​

• 01.09.2026 — Опубликована первая версия материала.