CVE-2024-38807

CVE-2024-38807: Signature Forgery Vulnerability in Spring Boot's Loader

En bref

Sévérité: MEDIUM 6.3
EPSS: EPSS 0.12 % · centile 2 (2026-10-27)
État: PUBLISHED
Publiée: 2024-08-23
Mise à jour: 2025-03-27
Attribuée par: vmware
Statut NVD: Deferred

Description

Applications that use spring-boot-loader or spring-boot-loader-classic and contain custom code that performs signature verification of nested jar files may be vulnerable to signature forgery where content that appears to have been signed by one signer has, in fact, been signed by another.

Scores

Version	Score	Vecteur	Évalué par
CVSS 3.1	MEDIUM 6.3	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N	vmware
CVSS 3.1	MEDIUM 6.3	CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:N	NVD · security@vmware.com (Secondary)

Faiblesses (CWE)

Avis

GHSA-7cj3-x93g-gj76 — Signature forgery in Spring Boot's Loader

Références européennes

ENISA EUVD · EUVD-2024-2526
GCVE · GCVE-0-2024-38807

Avis du CERT-FR

CERTFR-2026-AVI-1385 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2026-AVI-0322 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0969 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2025-AVI-0756 — Multiples vulnérabilités dans les produits VMware · cert.ssi.gouv.fr
CERTFR-2024-AVI-0715 — Vulnérabilité dans Spring Boot · cert.ssi.gouv.fr

Produits affectés

Produit	Versions
Spring · Spring Boot	affected 2.7.x < 2.7.22 ; affected 3.0.x < 3.0.17 ; affected 3.1.x < 3.1.13 ; affected 3.2.x < 3.2.9 ; affected 3.3.x < 3.3.3

Références

Sources

Source	Licence
CVE List (CVEProject cvelistV5)	CVE Program Terms of Use
EPSS (FIRST.org)	FIRST — attribution requested
ENISA EUVD	ENISA — reproduction authorised, source acknowledged
CERT-FR (ANSSI)	Licence Ouverte / Etalab 2.0
NVD (NIST) via fkie-cad/nvd-json-data-feeds	Public domain — this product uses data from the NVD API but is not endorsed or certified by the NVD