Spring-Cloud-Gateway-CVE-2022-22947

Spring Cloud Gateway 원격 코드 실행 취약점에 대한 보안 공지입니다. 이 취약점은 Spring Cloud Gateway가 Gateway Actuator 엔드포인트를 활성화하고 노출할 때, Spring Cloud Gateway를 사용하는 애플리케이션이 코드 삽입 공격을 받을 수 있는 취약점입니다. 공격자는 특수하게 조작된 악성 요청을 전송하여 임의의 코드를 원격으로 실행할 수 있습니다.

【영향받는 버전】

Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Spring Cloud Gateway의 오래되고 지원되지 않는 버전도 영향을 받습니다.

【안전 버전】

Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7

Spring Cloud Gateway는 Spring Framework와 Spring Boot를 기반으로 구축된 API 게이트웨이로, 마이크로서비스 아키텍처에 간단하고 효과적이며 통일된 API 라우팅 관리 방식을 제공하기 위한 것입니다.

수정 권장 사항

임시 수정 권장 사항:

게이트웨이 액추에이터 엔드포인트가 필요하지 않은 경우 management.endpoint.gateway.enabled: false를 통해 비활성화해야 합니다. 액추에이터가 필요한 경우 Spring Security를 통해 보호해야 합니다. https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security 를 참조하십시오.

일반 수정 권장 사항:

공식 보안 버전이 이미 출시되었으니, 신속하게 다운로드하여 업데이트하십시오. 다운로드 주소: https://github.com/spring-cloud/spring-cloud-gateway

URL을 통한 공격

python3로 실행

예시

이 웹사이트에서 제공하는 정보는 참고용으로만 제공됩니다.