Broadcom выпустила исправления для уязвимостей в TrueSource Spring Enterprise

Broadcom Inc. (NASDAQ: AVGO), мировой лидер в области технологий, занимающаяся проектированием, разработкой и поставкой полупроводниковых и инфраструктурных программных решений, выпустила исправления для 89 новых уязвимостей в TrueSource Spring Enterprise для своих клиентов, работающих в сфере критической инфраструктуры, и других лиц, имеющих право на ранний доступ, до публичного раскрытия информации. Таким образом, общее количество исправленных уязвимостей в рамках предложений TrueSource достигло 408.

Патчи обеспечивают безопасность среды только после развертывания. Чтобы устранить этот пробел, Spring Enterprise добавляет TrueSource Hub, который помогает предприятиям оценивать уязвимость приложений, расставлять приоритеты для критически важных исправлений и отслеживать статус. Кроме того, плагины сборки для Application Advisor автоматизируют установку патчей в рамках существующих рабочих процессов Maven или Gradle, генерируя запросы на слияние для упрощения объединения утвержденных исправлений.

Постоянные инвестиции в безопасность открытого исходного кода

В соответствии со своим обязательством по открытому исходному коду, принятым в июне 2026 года, Broadcom использует сканирование с помощью искусственного интеллекта Frontier и передовые исследования для поиска и устранения уязвимостей. TrueSource Spring Enterprise обеспечивает одновременное исправление уязвимостей во всех поддерживаемых версиях, предоставляя немедленный доступ для устаревших релизов, а также выпуская патчи безопасности только для текущих версий, чтобы ускорить развертывание. Подробная информация об уязвимостях будет опубликована, когда исправления станут доступны сообществу и будут выпущены CVE.

Масштаб и влияние: Достигнув огромного количества загрузок библиотек Spring и Reactor к 2026 году, инженеры Broadcom исправили 408 новых уязвимостей, внедрили более 1090 исправлений (включая 798 бэкпортов), проанализировали более 2600 отчетов и отфильтровали более 3000 ложных срабатываний.

Ключевые исправления критически важных проблем, внесенные компанией Broadcom в начале этого года:

• Весна (июнь): Исправлена ​​уязвимость удаленного выполнения кода (CVE-2026-41855, CVSS 8.1), затрагивающая одновременно четыре поддерживаемые строки кода.
• Зависимость Netty (июнь): Обнаружена уязвимость перенаправления DNS (CVE-2026-47691, CVSS 10.0), проблема устранена совместно с разработчиками сообщества и исправлена ​​для всех поддерживаемых версий Spring.
• RabbitMQ (июль): Исправлена ​​уязвимость подделки учетных данных (CVE-2026-67404, CVSS 9.2), затрагивающая одновременно четыре поддерживаемые линии.

«Безопасность — это не разовая инициатива, а постоянное обязательство. В июне мы обязались выявлять и устранять уязвимости Spring быстрее, чем когда-либо, и сегодняшний релиз демонстрирует нашу неизменную динамику», — сказала Пурнима Падманабхан, генеральный менеджер подразделения Tanzu компании Broadcom. «Наши клиенты получают критически важные исправления на ранних этапах в формате, пригодном для развертывания, с полной прозрачностью относительно того, куда должны быть внесены исправления, и подтверждением их установки. Что особенно важно, исправления возвращаются в сообщество открытого исходного кода — потому что открытый исходный код остается устойчивым только тогда, когда предприятия активно инвестируют в здоровье экосистемы».

Увидеть, расставить приоритеты, исправить, доказать.

Большинство предприятий знают, что используют программное обеспечение с открытым исходным кодом. Однако мало кто может точно сказать, какие приложения работают на каких версиях, какие уже не поддерживаются, а для каких требуется исправление, опубликованное сегодня утром. TrueSource Spring Enterprise восполняет этот пробел благодаря четырем функциям, работающим вместе:

• Оцените каждый репозиторий . TrueSource Hub подключается к репозиториям кода организации и отображает состояние безопасности и статус устаревших приложений Spring, предоставляет рекомендации по доступным исправлениям и обновлениям, а также оказывает поддержку командам при внесении необходимых изменений в код, предоставляя информацию в режиме реального времени, а не проводя разовую проверку.
• Расставьте приоритеты для важных исправлений. Когда Broadcom публикует исправление, Hub показывает, каким приложениям оно необходимо и насколько они уязвимы, чтобы руководители служб безопасности и разработки могли направить усилия на приложения, несущие наибольший риск. TrueSource работает со сканерами уязвимостей, которые команды уже используют. Например, Snyk активно сотрудничает с Broadcom, чтобы клиенты могли распознавать версии Spring с исправлениями от Broadcom как исправленные, с целью уменьшения количества ненужных оповещений и предотвращения отслеживания командами оповещений об уже устраненных уязвимостях.
• Вносите исправления в процесс сборки. Для приложений Spring плагины Spring Application Advisor интегрируются непосредственно в существующие сборки Maven и Gradle. Исправления и обновления версий поступают в виде запросов на слияние (pull requests), доступных для проверки, на основе детерминированных рецептов, проверенных инженерами TrueSource. Кроме того, новая интеграция с JFrog Zero-Touch Remediation обеспечивает мгновенную защиту. Автоматически доставляя проверенные, обратно совместимые исправления TrueSource в сборки, команды безопасности могут перестать ждать ручных запросов на слияние и переопределений зависимостей, обеспечивая безопасность программного обеспечения без каких-либо препятствий.
• Докажите это с помощью аудита конвейера сборки. Каждая сборка регистрирует свой исходный код и содержащиеся в нем библиотеки, а затем передает эту информацию в TrueSource, чтобы руководители служб безопасности могли показать своим советам директоров и руководству, какие именно библиотеки были включены в сборку и где было применено каждое исправление.

Портфолио TrueSource

TrueSource от Broadcom — это портфель корпоративного программного обеспечения с открытым исходным кодом от Broadcom, проверенного инженерами и поставляемого из одного надежного источника. Он включает в себя три продукта:

• Поддержка TrueSource Spring Enterprise для фреймворка Spring от Broadcom осуществляется с помощью патчей, содержащих только уязвимости CVE, — исправления безопасности, не требующих дополнительных изменений. Патчи поставляются одновременно для всех поддерживаемых версий, поэтому команды могут применять их без обновления, а также с помощью инструментов, анонсированных сегодня.
• TrueSource Trusted Artifacts — это проверенные библиотеки с открытым исходным кодом для Java, Python и JavaScript, а Secure Images — каталог образов контейнеров, охватывающий промежуточное программное обеспечение, среды выполнения и вспомогательные службы, от которых зависят приложения.
• Сервисы TrueSource Data Services для приложений обработки данных используют PostgreSQL, MySQL, Valkey и RabbitMQ, обеспечивая самостоятельное развертывание, управление парком серверов в различных средах и корпоративную поддержку самих систем, включая обеспечение высокой доступности и аварийного восстановления.

Доступность

TrueSource Spring Enterprise, включающий TrueSource Hub и плагины сборки, доступен для общего использования уже сегодня. 89 исправлений доступны немедленно для пользователей, получивших ранний доступ, и клиентов, работающих с критической инфраструктурой, после чего последует публичный выпуск CVE. TrueSource Spring Enterprise, Trusted Artifacts и Data Services предлагаются по многоуровневой системе лицензирования.

О компании Broadcom

Broadcom Inc. (NASDAQ: AVGO) — технологический лидер, занимающийся проектированием, разработкой и поставкой полупроводников и инфраструктурного программного обеспечения для сложных и критически важных задач глобальных организаций. Broadcom сочетает долгосрочные инвестиции в НИОКР с превосходным исполнением, чтобы предоставлять лучшие технологии в больших масштабах. Broadcom — корпорация штата Делавэр со штаб-квартирой в Пало-Альто, Калифорния.