【漏洞预警】Spring Cloud Gateway 远程代码执行漏洞

1. 通告信息

近日，安识科技A-Team团队监测到一则Spring Cloud GateWay存在远程代码执行漏洞的信息，并成功复现该漏洞。漏洞威胁等级：严重。Spring Cloud Gateway 远程代码执行漏洞（CVE-2022-22947）发生在Spring Cloud Gateway应用程序的Actuator端点，其在启用、公开和不安全的情况下容易受到代码注入的攻击。攻击者可通过该漏洞恶意创建允许在远程主机上执行任意远程执行的请求。

对此，安识科技建议广大用户及时升级到安全版本，并做好资产自查以及预防工作，以免遭受黑客攻击。

2. 漏洞概述

CVE: CVE-2022-22947

简述：Spring Cloud GateWay是Spring Cloud的⼀个全新项⽬，⽬标是取代Netflix Zuul，它基于Spring5.0+SpringBoot2.0+WebFlux（基于⾼性能的Reactor模式响应式通信框架Netty，异步⾮阻塞模型）等技术开发，性能⾼于Zuul，官⽅测试，GateWay是Zuul的1.6倍，旨在为微服务架构提供⼀种简单有效的统⼀的API路由管理⽅式。

Spring Cloud Gateway 远程代码执行漏洞（CVE-2022-22947）发生在Spring Cloud Gateway应用程序的Actuator端点，其在启用、公开和不安全的情况下容易受到代码注入的攻击。攻击者可通过该漏洞恶意创建允许在远程主机上执行任意远程执行的请求。

3. 漏洞危害

攻击者可通过该漏洞恶意创建允许在远程主机上执行任意远程执行的请求。

4. 影响版本

目前受影响的版本：

3.1.0

3.0.0至3.0.6

3.0.0之前的版本

5. 解决方案

1. 3.1.x用户应升级到3.1.1+

2. 3.0.x用户应升级到3.0.7+

3. 如果不需要Actuator端点，可以通过management.endpoint.gateway.enable：false配置将其禁用

4. 如果需要Actuator端点，则应使用Spring Security对其进行保护

6. 时间轴

【-】2022年03月01日 安识科技A-Team团队监测到Spring官方发布公告

【-】2022年03月02日 安识科技A-Team团队根据公告信息分析

【-】2022年03月03日 安识科技A-Team团队发布安全通告

本文作者：安识科技

本文为安全脉搏专栏作者发布，转载请注明：https://www.secpulse.com/archives/174343.html