CVE-2021-22053

CVE-2021-22053: Spring Cloud Netflix Hystrix Dashboard 템플릿 해석 취약점

설명

spring-cloud-netflix-hystrix-dashboard와 spring-boot-starter-thymeleaf를 모두 사용하는 애플리케이션은 뷰 템플릿 해석 중 요청 URI 경로에 제출된 코드를 실행할 수 있는 방법을 노출합니다. /hystrix/monitor;[user-provided data]로 요청이 이루어지면 hystrix/monitor 뒤에 오는 경로 요소가 SpringEL 표현식으로 평가되어 코드 실행으로 이어질 수 있습니다.

영향을 받는 VMware 제품 및 버전

달리 명시되지 않는 한 심각도는 높음입니다.

• Spring Cloud Netflix
  • 2.2.0.RELEASE ~ 2.2.9.RELEASE
  • 지원되지 않는 이전 버전도 영향을 받습니다

완화 방안

영향을 받는 버전의 사용자는 다음 완화 조치를 적용해야 합니다: 2.2.10.RELEASE+로 업그레이드해야 합니다. 다른 단계는 필요하지 않습니다. 이 문제를 해결한 릴리스는 다음과 같습니다:

• Spring Cloud Netflix
  • 2.2.10.RELEASE+

크레딧

이 취약점은 SecCoder Security Lab의 threedr3am([email protected])에 의해 식별되었으며 책임감 있게 보고되었습니다.

참고 자료

https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L

팔로우하기

Vulnmachines

YouTube

Twitter

Facebook

LinkedIn