Una vulnerabilidad crítica en el servidor LDAP UnboundID embebido de Spring Security puede permitir que atacantes remotos obtengan acceso administrativo a directorios LDAP en memoria que estén expuestos.

Rastreada como CVE-2026-59270, el problema afecta a las aplicaciones que utilizan UnboundIdContainer de Spring Security, ya sea directamente o a través de la autoconfiguración LDAP embebida de Spring Boot.

El fallo fue publicado el 20 de agosto de 2026 y tiene una calificación de severidad crítica. Puede ser explotado remotamente sin autenticación previa ni interacción del usuario cuando el escuchador LDAP embebido es accesible desde una ubicación de red controlada por un atacante.

La vulnerabilidad existe porque UnboundIdContainer crea incondicionalmente una credencial administrativa de LDAP al vincular su escuchador LDAP a todas las interfaces de red disponibles.

Este comportamiento puede exponer el servicio LDAP más allá de localhost, dependiendo de las reglas del firewall, la red de contenedores, los grupos de seguridad de la nube y las políticas de red.

Fallo de Spring Security

Un atacante que pueda conectarse al puerto LDAP expuesto puede autenticarse utilizando el nombre distinguido de vinculación administrativa bien conocido.

La autenticación exitosa otorga acceso de nivel administrativo al directorio embebido, permitiendo que el atacante lea, altere o potencialmente elimine entradas LDAP almacenadas en memoria.

El problema es especialmente preocupante en entornos de desarrollo, pruebas, CI/CD y entornos de aplicaciones internas donde los servicios LDAP embebidos pueden estar habilitados para pruebas de autenticación o funciones de aplicación respaldadas por directorios.

Aunque el directorio esté en memoria, sus datos pueden incluir cuentas de prueba, atributos de autenticación, mapeos de roles, valores de configuración de la aplicación u otros registros sensibles cargados durante el inicio.

Los atacantes podrían abusar del fallo para enumerar usuarios y grupos de LDAP, modificar entradas relacionadas con la autorización, inyectar objetos de directorio maliciosos o interrumpir aplicaciones que dependan de la instancia LDAP embebida.

En algunos despliegues, los registros de directorio alterados podrían afectar las decisiones de autorización de la aplicación y permitir ataques posteriores contra los servicios conectados.

CVE-2026-59270 afecta a las versiones de Spring Security 7.1.0, 7.0.0 a 7.0.6, 6.5.0 a 6.5.11, 6.4.0 a 6.4.18, 5.8.0 a 5.8.27 y 5.7.0 a 5.7.25.

Si eres usuario de Spring Security, deberías actualizar inmediatamente a una versión corregida. Las correcciones de código abierto disponibles incluyen Spring Security 7.1.1 y 7.0.7.

También hay correcciones con soporte empresarial disponibles para las ramas de mantenimiento afectadas, incluyendo las versiones 6.5.12, 6.4.19, 5.8.28 y 5.7.26.

Deberías identificar tus aplicaciones revisando el UnboundIdContainer o las propiedades de Spring Boot que comiencen con spring.ldap.embedded.*.

Tus equipos de seguridad también deberían verificar si los puertos del escuchador LDAP están expuestos a través de la red del host, servicios de Kubernetes, reglas de ingreso, mapeos de puertos de Docker, configuraciones de firewall o controles de red en la nube.

Spring afirmó que no son necesarios más pasos de mitigación después de actualizar. Sin embargo, aun así deberías restringir el acceso a los servicios LDAP embebidos donde sea posible, especialmente en entornos que no sean de producción. La segmentación de red y la exposición solo a localhost pueden reducir el riesgo de explotación remota mientras se despliegan los parches.