Broadcom annonce une poursuite des investissements sur la sécurité des environnements Java et Spring. Ainsi, Tanzu, très discret depuis des mois, a publié la plus importante série de mises à jour de sécurité Spring en open source de toute l’histoire du framework, qui fête cette année ses 23 ans. Broadcom étend à l’écosystème Spring son architecture de compilation sécurisée (« clean-room build »), afin de produire les dépendances Java nécessaires à cet environnement. Ces investissements visent à préserver l’intégrité de Spring et à préparer les clients de Broadcom à la montée continue des menaces de sécurité facilitées par l’IA.

« Spring est l’un des frameworks de développement applicatif les plus largement adoptés dans le monde et, en tant que mainteneurs du projet, nous avons une responsabilité majeure en matière de sécurité », déclare Purnima Padmanabhan, Vice President et General Manager de la division Tanzu chez Broadcom. « Parce que nous assurons la maintenance de Spring et sommes les seuls à valider les contributions au projet, nous sommes en mesure de renforcer sa sécurité à la source, au bénéfice de tous ceux qui en dépendent. Cet investissement répond à deux priorités indissociables : la santé de la communauté Spring et la sécurité des entreprises qui s’appuient sur Spring pour faire fonctionner leurs activités. Associée aux constructions de conteneurs auto-cicatrisantes (self-healing container builds) fournies par Tanzu Buildpacks au sein de Tanzu Platform, cette approche permet aux développeurs Java de maintenir des applications Spring sécurisées et à jour, du code source jusqu’aux conteneurs.»

Ces clients de Tanzu Spring bénéficient :

• d'une chaîne d'approvisionnement logicielle sécurisée pour les dépendances Java, validée selon le niveau 3 du référentiel SLSA (Supply-chain Levels for Software Artifacts) ;
• d'une couverture de l'ensemble du graphe de dépendances transitives géré par le Bill of Materials de Spring Boot ;
• de milliers de dépendances sécurisées, compilées et testées pour chaque version prise en charge de Spring. À lui seul, Spring Boot 4.0 gère 1 768 dépendances ; sur l'ensemble du portefeuille actuellement supporté, cela représente plus de 100 000 compilations de dépendances validées.

Tanzu Spring permet désormais à ses clients d'accéder, dès leur publication, à des versions de correctifs validés dédiées exclusivement aux vulnérabilités et expositions courantes (CVE) via le Spring Enterprise Repository, avant même leur diffusion dans les projets open source.