Broadcom випустила виправлення для вразливостей у TrueSource Spring Enterprise

Broadcom Inc. (NASDAQ: AVGO), світовий лідер у галузі технологій, що займається проектуванням, розробкою та постачанням напівпровідникових та інфраструктурних програмних рішень, випустила виправлення для 89 нових уразливостей у TrueSource Spring Enterprise для своїх клієнтів, що працюють у сфері критичної інфраструктури, та інших осіб, які мають право на ранній доступ, до публічного доступу. Таким чином, загальна кількість виправлених уразливостей у рамках пропозицій TrueSource досягла 408.

Патчі забезпечують безпеку середовища лише після розгортання. Щоб усунути цю прогалину, Spring Enterprise додає TrueSource Hub, який допомагає підприємствам оцінювати вразливість додатків, розставляти пріоритети для критично важливих виправлень та відстежувати статус. Крім того, плагіни збірки для Application Advisor автоматизують встановлення патчів у рамках існуючих робочих процесів Maven або Gradle, генеруючи запити на злиття для спрощення об'єднання затверджених виправлень.

Постійні інвестиції у безпеку відкритого вихідного коду

Відповідно до свого зобов'язання за відкритим вихідним кодом, прийнятим у червні 2026 року, Broadcom використовує сканування за допомогою штучного інтелекту Frontier та передові дослідження для пошуку та усунення вразливостей. TrueSource Spring Enterprise забезпечує одночасне виправлення уразливостей у всіх підтримуваних версіях, надаючи негайний доступ для застарілих релізів, а також випускаючи патчі безпеки тільки для поточних версій, щоб прискорити розгортання. Детальна інформація про вразливість буде опублікована, коли виправлення стануть доступними спільноті та будуть випущені CVE.

Масштаб і вплив: Досягши величезної кількості завантажень бібліотек Spring і Reactor до 2026 року, інженери Broadcom виправили 408 нових вразливостей, впровадили понад 1090 виправлень (включаючи 798 бекпортів), проаналізували понад 2600 звітів та відфільтрували понад 3000 помилкових.

Ключові виправлення критично важливих проблем, внесені компанією Broadcom на початку цього року:

• Весна (червень): Виправлена ​​вразливість віддаленого виконання коду (CVE-2026-41855, CVSS 8.1), що зачіпає одночасно чотири рядки коду, що підтримуються.
• Залежність Netty (червень): Виявлено вразливість перенаправлення DNS (CVE-2026-47691, CVSS 10.0), проблема усунута спільно з розробниками спільноти та виправлена ​​для всіх підтримуваних версій Spring.
• RabbitMQ (липень): Виправлена ​​вразливість підробки облікових даних (CVE-2026-67404, CVSS 9.2), що зачіпає одночасно чотири лінії, що підтримуються.

«Безпека – це не разова ініціатива, а постійне зобов'язання. У червні ми зобов'язалися виявляти та усувати вразливості Spring швидше, ніж будь-коли, і сьогоднішній реліз демонструє нашу постійну динаміку», - сказала Пурніма Падманабхан, генеральний менеджер підрозділу Tanzu компанії Broadcom. «Наші клієнти отримують критично важливі виправлення на ранніх етапах у форматі, придатному для розгортання, з повною прозорістю щодо того, куди мають бути внесені виправлення, та підтвердженням їх встановлення. Що особливо важливо, виправлення повертаються до спільноти відкритого вихідного коду, бо відкритий вихідний код залишається стійким лише тоді, коли підприємства активно інвестують у здоров'я екосистеми».

Побачити, розставити пріоритети, виправити, довести.

Більшість підприємств знають, що використовують програмне забезпечення з відкритим кодом. Однак мало хто може точно сказати, які програми працюють на яких версіях, які вже не підтримуються, а для яких потрібно виправлення, опубліковане сьогодні вранці. TrueSource Spring Enterprise заповнює цю прогалину завдяки чотирьом функціям, що працюють разом:

• Оцініть кожен репозиторій . TrueSource Hub підключається до репозиторій коду організації та відображає стан безпеки та статус застарілих програм Spring, надає рекомендації щодо доступних виправлень та оновлень, а також надає підтримку командам при внесенні необхідних змін до коду, надаючи інформацію в режимі реального часу, а не проводячи разову перевірку.
• Поставте пріоритети для важливих виправлень. Коли Broadcom публікує виправлення, Hub показує, яким додаткам воно необхідне і наскільки вони вразливі, щоб керівники служб безпеки та розробки могли спрямувати зусилля на програми, які мають найбільший ризик. TrueSource працює зі сканерами вразливостей, які вже використовують команди. Наприклад, Snyk активно співпрацює з Broadcom, щоб клієнти могли розпізнавати версії Spring з виправленнями від Broadcom як виправлені, з метою зменшення кількості непотрібних оповіщень та запобігання відстеженню командами сповіщень про вже усунені вразливості.
• Вносите виправлення у процес складання. Для додатків Spring плагіни Spring Application Advisor інтегруються безпосередньо в існуючі збірки Maven та Gradle. Виправлення та оновлення версій надходять у вигляді запитів на злиття (pull requests), доступних для перевірки, на основі детермінованих рецептів, перевірених інженерами TrueSource. Крім того, нова інтеграція з JFrog Zero-Touch Remediation забезпечує миттєвий захист. Автоматично доставляючи перевірені, назад сумісні виправлення TrueSource у збірки, команди безпеки можуть перестати чекати на ручні запити на злиття та перевизначення залежностей, забезпечуючи безпеку програмного забезпечення без будь-яких перешкод.
• Доведіть це за допомогою аудиту конвеєра збирання. Кожна збірка реєструє свій вихідний код і бібліотеки, що містяться в ньому, а потім передає цю інформацію в TrueSource, щоб керівники служб безпеки могли показати своїм порадам директорів і керівництву, які саме бібліотеки були включені в збірку і де було застосовано кожне виправлення.

Портфоліо TrueSource

TrueSource від Broadcom – це портфель корпоративного програмного забезпечення з відкритим вихідним кодом від Broadcom, перевіреного інженерами та поставляється з одного надійного джерела. Він включає три продукти:

• Підтримка TrueSource Spring Enterprise для фреймворку Spring від Broadcom здійснюється за допомогою патчів, що містять тільки вразливість CVE, - виправлення безпеки, що не потребує додаткових змін. Патчі поставляються одночасно для всіх версій, що підтримуються, тому команди можуть застосовувати їх без оновлення, а також за допомогою інструментів, анонсованих сьогодні.
• TrueSource Trusted Artifacts - це перевірені бібліотеки з відкритим вихідним кодом для Java, Python і JavaScript, а Secure Images - каталог образів контейнерів, що охоплює проміжне програмне забезпечення, середовища виконання та допоміжні служби, від яких залежать програми.
• Сервіси TrueSource Data Services для додатків обробки даних використовують PostgreSQL, MySQL, Valkey та RabbitMQ, забезпечуючи самостійне розгортання, керування парком серверів у різних середовищах та корпоративну підтримку самих систем, включаючи забезпечення високої доступності та аварійного відновлення.

Доступність

TrueSource Spring Enterprise, що включає TrueSource Hub та плагіни складання, доступний для загального використання вже сьогодні. 89 виправлень доступні негайно для користувачів, які отримали ранній доступ, і клієнтів, що працюють з критичною інфраструктурою, після чого буде випущено публічний випуск CVE. TrueSource Spring Enterprise, Trusted Artifacts та Data Services пропонуються за багаторівневою системою ліцензування.

Про компанію Broadcom

Broadcom Inc. (NASDAQ: AVGO) — технологічний лідер, що займається проектуванням, розробкою та постачанням напівпровідників та інфраструктурного програмного забезпечення для складних та критично важливих завдань глобальних організацій. Broadcom поєднує довгострокові інвестиції в НДДКР із чудовим виконанням, щоб надавати кращі технології у великих масштабах. Broadcom є корпорація штату Делавер зі штаб-квартирою в Пало-Альто, Каліфорнія.