Broadcom Inc. (NASDAQ: AVGO), ein weltweit führender Technologieanbieter, der Halbleiter- und Infrastruktur-Softwarelösungen entwirft, entwickelt und liefert, gibt heute bedeutende Sicherheitsinvestitionen für das Spring- und Java-Ökosystem bekannt, auf das sich mehr als die Hälfte der Fortune-500-Unternehmen stützt.
Um der Spring-Community dabei zu helfen, den beispiellosen Anstieg von durch KI erkannten Sicherheitsbedrohungen zu bewältigen, hat der Geschäftsbereich Tanzu von Broadcom die umfangreichsten Spring-Sicherheitsupdates veröffentlicht, die in der 23-jährigen Geschichte von Spring jemals als Open Source bereitgestellt wurden. Darüber hinaus erweitert Broadcom für seine Kunden seine bewährte Clean-Room-Build-Architektur, die die Grundlage für Bitnami bildet, um die Java-Abhängigkeiten für das gesamte Spring-Ökosystem zu erstellen. Diese Investitionen zielen darauf ab, die Integrität von Spring zu schützen und die Kunden von Broadcom auf den anhaltenden Anstieg KI-gestützter Sicherheitsbedrohungen vorzubereiten.
Jüngste Maßnahmen der US-Regierung zur Einrichtung einer nationalen Clearingstelle zur Koordinierung und Priorisierung der Behebung von Software-Schwachstellen unterstreichen die zentrale Herausforderung: Die Entdeckung von Bedrohungen beschleunigt sich, und der Engpass hat sich auf die Geschwindigkeit der Behebung verlagert.
„Spring ist eines der weltweit am häufigsten eingesetzten Frameworks für die Anwendungsentwicklung, und als dessen Verwalter tragen wir eine große Verantwortung für dessen Sicherheit“, sagte Purnima Padmanabhan, Vice President und General Manager der Tanzu Division bei Broadcom. „Da wir Spring pflegen und die einzigen Committer sind, können wir es an der Quelle besser für alle sichern, die darauf angewiesen sind. Bei dieser Investition geht es um zwei Dinge, die wir niemals trennen werden: das Wohlergehen der Spring-Community und die Sicherheit unserer Kunden, die Spring vertrauen, um ihr Geschäft zu betreiben.“
Jüngste Fortschritte bei den AI Foundation Models haben zu einer explosionsartigen Zunahme neu entdeckter Sicherheitslücken geführt und gleichzeitig das Zeitfenster bis zur Ausnutzung nach der Offenlegung einer Schwachstelle verkürzt. Die Zahl der monatlichen Security Advisories, die Broadcom von der Spring-Community gemeldet wurden, stieg von März bis April 2026 um über 1700 Prozent. Als Reaktion darauf hat das Spring-Entwicklungsteam von Broadcom seine Investitionen in fortschrittliche KI-gestützte Sicherheitsanalysen erheblich ausgeweitet, darunter auf „Frontier Model“ basierende Scan- und Validierungs-Workflows, um Schwachstellen proaktiv zu identifizieren, Behebungsmaßnahmen zu bewerten und Korrekturen im gesamten Abhängigkeits-Ökosystem zu validieren.
Day-Zero-Zugriff auf validierte, reine CVE-Patches für Tanzu Spring-Kunden
Zusätzlich zu diesen Sicherheitsinitiativen bietet Tanzu Spring Kunden nun über das Spring Enterprise Repository Day-Zero-Zugriff auf validierte, ausschließlich auf CVEs basierende Patch-Releases, noch bevor die Patches für Open Source veröffentlicht werden. CVE-only-Patches isolieren die Sicherheitskorrektur von allen anderen Änderungen, sodass Kunden schneller Abhilfe schaffen und das Zeitfenster der Sicherheitslücke verkürzen können. Durch die Nutzung der privaten Artefakt-Repositorys von Tanzu Spring können Kunden sicher sein, dass es sich bei den Artefakten um die offiziellen, validierten Patches von Broadcom, dem Verwalter von Spring, handelt. Wie bisher wird Broadcom weiterhin CVEs für alle Versionen jedes Spring-Projekts im Open-Source-Support sowie für ältere Versionen im Tanzu Spring Enterprise-Support veröffentlichen. Der VMware Tanzu Spring Enterprise-Support von Broadcom umfasst:
- Zertifizierte Quelle für sichere Spring-Bibliotheken
- Kommerzielle Erstveröffentlichung von Patches sowohl für aktuelle als auch für ältere, im Enterprise-Support unterstützte Versionen
- Zugriff auf abhängige Java-Binärdateien
- Automatisierte, deterministische Upgrades mit Spring Application Advisor
- Exklusive Tanzu Spring-Komponenten für Governance und Sicherheit
- Support rund um die Uhr, praktisches Fachwissen und Zugang zum Spring-Team
Sicherung der Java-Software-Lieferkette für Spring
Im Rahmen dieser erweiterten Investition in die Sicherung des Spring-Ökosystems und seiner Abhängigkeiten erhalten Tanzu Spring-Kunden nun Zugriff auf:
- Eine gesicherte, nach SLSA Level 3 validierte Software-Lieferkette für Java-Abhängigkeiten.
- Abdeckung, die den gesamten transitiven Abhängigkeitsgraphen umfasst, der von der Spring Boot-Stückliste verwaltet wird.
- Tausende gesicherte Abhängigkeiten, die für jede unterstützte Spring-Version erstellt und getestet wurden. Allein Spring Boot 4.0 verwaltet 1.768 davon; über das gesamte unterstützte Portfolio hinweg sind das insgesamt mehr als 100.000 validierte Abhängigkeits-Builds.
Diese umfangreiche Investition, um Spring-Kunden eine in einer „Clean Room“-Umgebung erstellte, überprüfbare Software-Lieferkette für alle unterstützten Spring-Versionen bereitzustellen, stellt einen großen Fortschritt bei der Stärkung von Vertrauen, Transparenz und Ausfallsicherheit auf einer der weltweit am häufigsten eingesetzten Java-Anwendungsentwicklungsplattformen dar. Diese Funktion bietet Kunden validierte Abhängigkeiten sowohl für aktuelle als auch für nicht mehr unterstützte Spring-Versionen und hilft ihnen so, Risiken in der Software-Lieferkette zu reduzieren, während sie weiterhin von der Produktivität und Konsistenz des Abhängigkeitsmanagementmodells von Spring Boot profitieren.
Broadcom hat es sich zudem zur Aufgabe gemacht, Kunden dabei zu unterstützen, Patches schneller anzuwenden, um mit den heutigen KI-gestützten Sicherheitsbedrohungen Schritt zu halten. Broadcom ermöglicht es Kunden, ihre Anwendungslandschaft sowohl im Quellcode als auch bei laufenden Anwendungen zu bewerten und Upgrades deterministisch zu empfehlen und zu implementieren. Broadcom bietet Funktionen wie die Tanzu Platform, den Tanzu Build Service und Buildpacks, die die Erstellung und Bereitstellung von Java-Anwendungen besser sichern und es ermöglichen, eine einzige Korrektur auf das gesamte Anwendungsportfolio zu übertragen.
Weitere Informationen
Lesen Sie „Spring und Sicherheit im Zeitalter der KI“
Lesen Sie „Wie man sich auf die Welt der KI-gesteuerten Exploits vorbereitet“
Sehen Sie sich das Video „Spring Vulnerability Update“ an
Erfahren Sie mehr über Tanzu Spring für den Unternehmenssupport