Spring-Cloud-Gateway-CVE-2022-22947

Aviso de segurança sobre a vulnerabilidade de execução remota de código no Spring Cloud Gateway. Esta vulnerabilidade permite que aplicações que usam Spring Cloud Gateway sofram ataques de injeção de código quando o endpoint Gateway Actuator está habilitado e exposto. Um atacante pode enviar solicitações maliciosas especialmente elaboradas para executar código arbitrário remotamente.

【Versões afetadas】

Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Versões antigas e sem suporte do Spring Cloud Gateway também são afetadas. 【Versões seguras】

Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7

O Spring Cloud Gateway é um gateway de API construído sobre Spring Framework e Spring Boot, projetado para fornecer uma maneira simples, eficaz e unificada de gerenciamento de rotas de API para arquiteturas de microsserviços.

Recomendações de correção Correção temporária:

Se o endpoint do actuator do gateway não for necessário, desative-o definindo management.endpoint.gateway.enabled: false. Se o actuator for necessário, proteja-o usando Spring Security; consulte https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security.

Correção geral:

A versão oficial com a correção já foi lançada; faça o download e atualize o quanto antes. Endereço de download: https://github.com/spring-cloud/spring-cloud-gateway

Ataque via URL

Execute com python3

python3

As informações fornecidas neste site são apenas para referência.