CVE-2021-22053

CVE-2021-22053: уязвимость разрешения шаблонов Spring Cloud Netflix Hystrix Dashboard

Описание

Приложения, использующие одновременно spring-cloud-netflix-hystrix-dashboard и spring-boot-starter-thymeleaf, предоставляют способ выполнения кода, переданного в пути URI запроса, во время разрешения шаблонов представлений. Когда запрос отправляется на /hystrix/monitor;[user-provided data], элементы пути после hystrix/monitor вычисляются как выражения SpringEL, что может привести к выполнению кода.

Затронутые продукты и версии VMware

Уровень серьёзности высокий, если не указано иное.

• Spring Cloud Netflix
  • с 2.2.0.RELEASE по 2.2.9.RELEASE
  • Более старые неподдерживаемые версии также затронуты

Меры по устранению

Пользователям затронутых версий следует применить следующие меры: обновиться до версии 2.2.10.RELEASE+. Никаких других действий не требуется. Выпуски, в которых эта проблема исправлена, включают: