CVE-2021-22053

CVE-2021-22053: Vulnerabilidad de resolución de plantillas en Spring Cloud Netflix Hystrix Dashboard

Descripción

Las aplicaciones que utilizan tanto spring-cloud-netflix-hystrix-dashboard como spring-boot-starter-thymeleaf exponen una forma de ejecutar código enviado dentro de la ruta URI de la solicitud durante la resolución de plantillas de vista. Cuando se realiza una solicitud a /hystrix/monitor;[datos proporcionados por el usuario], los elementos de la ruta que siguen a hystrix/monitor se evalúan como expresiones SpringEL, lo que puede conducir a la ejecución de código.

Productos y versiones de VMware afectados

La gravedad es alta salvo que se indique lo contrario.

• Spring Cloud Netflix
  • 2.2.0.RELEASE a 2.2.9.RELEASE
  • Las versiones antiguas no compatibles también están afectadas

Mitigación