lucksec/spring-cloud-gateway-cve-2022-22947CVE-2022-22947
Spring Cloud Gateway 원격 코드 실행 취약점에 대한 보안 권고입니다. 이 취약점은 Spring Cloud Gateway가 Gateway Actuator 엔드포인트를 활성화하고 노출할 때, Spring Cloud Gateway를 사용하는 애플리케이션이 코드 주입 공격을 받을 수 있습니다. 공격자는 특수하게 조작된 악성 요청을 전송하여 원격으로 임의 코드를 실행할 수 있습니다.
【영향받는 버전】
Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Spring Cloud Gateway의 오래되고 지원되지 않는 버전도 영향을 받습니다. 【안전 버전】
Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7
Spring Cloud Gateway는 Spring Framework와 Spring Boot를 기반으로 구축된 API 게이트웨이로, 마이크로서비스 아키텍처에 간단하고 효과적이며 통일된 API 라우팅 관리 방식을 제공하는 것을 목표로 합니다.
수정 권장 사항 임시 수정 권장 사항:
게이트웨이 액추에이터 엔드포인트가 필요하지 않은 경우 management.endpoint.gateway.enabled: false 를 통해 비활성화해야 합니다. 액추에이터가 필요한 경우 Spring Security를 사용하여 보호해야 합니다. https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security 를 참조하십시오.
일반 수정 권장 사항:
공식 보안 버전이 출시되었으니 즉시 다운로드하여 업데이트하십시오. 다운로드 주소: https://github.com/spring-cloud/spring-cloud-gateway
URL을 통한 공격
python3를 사용하여 실행
python3
