CVE-2021-22053

CVE-2021-22053: Vulnerabilidade de resolução de template no dashboard Hystrix do Spring Cloud Netflix

Descrição

Aplicações que utilizam tanto spring-cloud-netflix-hystrix-dashboard quanto spring-boot-starter-thymeleaf expõem uma forma de executar código submetido dentro do caminho URI da requisição durante a resolução de templates de visualização. Quando uma requisição é feita em /hystrix/monitor;[dados-fornecidos-pelo-usuário], os elementos do caminho após hystrix/monitor são avaliados como expressões SpringEL, o que pode levar à execução de código.

Produtos e Versões VMware Afetados

A gravidade é alta, salvo indicação em contrário.

• Spring Cloud Netflix
  • 2.2.0.RELEASE a 2.2.9.RELEASE
  • Versões mais antigas e não suportadas também são afetadas

Mitigação