lucksec/spring-cloud-gateway-cve-2022-22947CVE-2022-22947
Avis de sécurité concernant la vulnérabilité d'exécution de code à distance dans Spring Cloud Gateway. Cette vulnérabilité permet aux applications utilisant Spring Cloud Gateway de subir une attaque par injection de code lorsque le point de terminaison Gateway Actuator est activé et exposé. Un attaquant peut envoyer une requête malveillante spécialement conçue pour exécuter du code arbitraire à distance.
【Versions affectées】
Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Les versions anciennes et non prises en charge de Spring Cloud Gateway sont également affectées. 【Versions sécurisées】
Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7
Spring Cloud Gateway est une passerelle API construite sur Spring Framework et Spring Boot, conçue pour fournir une méthode simple, efficace et unifiée de gestion du routage API pour les architectures de microservices.
Recommandations de correctif Correctif temporaire :
Si le point de terminaison de l'actuator de la passerelle n'est pas nécessaire, désactivez-le via management.endpoint.gateway.enabled: false. Si l'actuator est nécessaire, protégez-le avec Spring Security, voir https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security.
Correctif général :
Une version sécurisée officielle a été publiée. Veuillez la télécharger et mettre à jour dès que possible : https://github.com/spring-cloud/spring-cloud-gateway
Attaque via URL
Exécutez avec python3
python3
