Spring-Cloud-Gateway-CVE-2022-22947

Spring Cloud Gateway のリモートコード実行（RCE）脆弱性に関するセキュリティアドバイザリ。この脆弱性は、Spring Cloud Gateway が Gateway Actuator エンドポイントを有効化して公開している場合に、Spring Cloud Gateway を使用するアプリケーションがコードインジェクション攻撃を受ける可能性があるというものです。攻撃者は特別に細工した悪意のあるリクエストを送信し、任意のコードをリモート実行する可能性があります。

【影響を受けるバージョン】

Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Spring Cloud Gateway の古い、サポートされていないバージョンも影響を受けます。 【セキュリティ修正済みバージョン】

Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7

Spring Cloud Gateway は、Spring Framework と Spring Boot を基盤に構築された API ゲートウェイであり、マイクロサービスアーキテクチャに対してシンプルで効果的かつ統一的な API ルーティング管理方法を提供することを目的としています。

修正推奨事項 一時的な修正推奨事項：

ゲートウェイの Actuator エンドポイントが不要な場合は、management.endpoint.gateway.enabled: false を使用して無効化してください。エンドポイントが必要な場合は、Spring Security を使用して保護し、https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security を参照してください。

一般的な修正推奨事項：

公式のセキュリティ修正版がリリースされています。速やかにダウンロードして更新してください。ダウンロード先：https://github.com/spring-cloud/spring-cloud-gateway

URLによる攻撃

python3 を使用して実行

python3

当サイトで提供される情報は参考用のみを目的としています。