Spring-Cloud-Gateway-CVE-2022-22947

Aviso de segurança sobre a vulnerabilidade de execução remota de código no Spring Cloud Gateway. Esta vulnerabilidade ocorre quando o Spring Cloud Gateway habilita e expõe o endpoint Gateway Actuator; aplicações que usam o Spring Cloud Gateway podem estar sujeitas a ataques de injeção de código. Um atacante pode enviar uma requisição maliciosa especialmente elaborada para executar código arbitrário remotamente.

【Versões afetadas】

Spring Cloud Gateway < 3.1.1 Spring Cloud Gateway < 3.0.7 Versões antigas e não suportadas do Spring Cloud Gateway também são afetadas 【Versões seguras】

Spring Cloud Gateway >= 3.1.1 Spring Cloud Gateway >= 3.0.7

O Spring Cloud Gateway é um gateway de API construído sobre o Spring Framework e o Spring Boot, projetado para fornecer uma forma simples, eficaz e unificada de gerenciamento de roteamento de API para arquiteturas de microsserviços.

Sugestões de correção Correção temporária:

Se o endpoint do actuator do gateway não for necessário, desative-o por meio de management.endpoint.gateway.enabled: false. Se o actuator for necessário, proteja-o com o Spring Security; consulte https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security.

Correção geral:

A versão oficial de segurança já foi lançada; faça o download e atualize imediatamente. Endereço para download: https://github.com/spring-cloud/spring-cloud-gateway

Ataque via URL

Execute com python3

Exemplo