Spring News Roundup: Point Releases of Boot, Security, Integration, Modulith and Spring AI 2.0

KẾT LUẬN

Tuần 8/6/2026 chứng kiến làn sóng cập nhật đồng loạt của hệ sinh thái Spring với hơn 13 dự án được phát hành point release, nổi bật là Spring AI 2.0 GA chính thức bước vào kỷ nguyên AI/ML, cùng với 6 lỗ hổng CVE nghiêm trọng được vá trên HATEOAS, Kafka và LDAP.

LUẬN ĐIỂM CHÍNH

• Spring AI 2.0 chính thức GA: cập nhật Google Gemini 3.1 Pro Preview, cải thiện null safety trong package image observation, đánh dấu Spring bước vào lĩnh vực AI
• Làn sóng point release đồng bộ: Boot 4.1.0, Security 7.1.0, Integration 7.1.0, Session 4.1.0, Modulith 2.1.0, AMQP 4.1.0, Kafka 4.1.0, LDAP 4.1.0, Vault 4.1.0 phát hành gần như cùng thời điểm
• Vá 6 CVE bảo mật: HATEOAS 2 lỗi (bypass Jackson, unbounded cache), Kafka 3 lỗi (header injection, retry poisoning, deserialization), LDAP 1 lỗi (mật khẩu rỗng)
• Spring Modulith mở rộng externalization: hỗ trợ Namastack event outbox, JobRunr event externalizer, annotation @ModuleSlicing cho kiểm thử

LUẬN ĐIỂM PHỤ

• Spring AMQP 4.1.0 tăng cường bảo mật: loại bỏ wildcard khỏi Jackson converter, mặc định trust no one, hỗ trợ RabbitMQ 4.3.0 và module AMQP 1.0 mới
• Spring Vault 4.1.0 giới thiệu VaultClient/ReactiveVaultClient ngăn absolute path usage, ManagedSecret đơn giản hóa quản lý secrets
• Spring gRPC 1.1.0 hỗ trợ in-process channel configuration và annotation-based exception handling

LUẬN CỨ & VÍ DỤ

• CVE-2026-41731 (Kafka): Attacker gửi malicious headers vào JsonKafkaHeaderMapper, lợi dụng prefix check khiến consumer deserialize JDK type tùy ý
• CVE-2026-41006 & CVE-2026-41007 (HATEOAS): Bypass Jackson access-control làm lộ security-sensitive property; unbounded cache trong StringLinkRelation cho phép inject hypermedia độc hại
• Spring Modulith + JobRunr: JobRunrEventExternalizer cho phép externalize event từ ứng dụng modulith ra job queue

Nguồn: InfoQ | Phân tích bởi AI