【安全通告】Spring Cloud Gateway 遠程代碼執行漏洞風險通告（CVE-2022-22947）

漏洞速覽

騰訊云安全運營中心監測到， VMware官方發布安全通告，披露了其Spring Cloud Gateway存在代碼注入漏洞，漏洞編號CVE-2022-22947。可導致遠程代碼執行等危害。

漏洞概述

Spring Cloud Gateway 是基于 Spring Framework 和 Spring Boot 構建的 API 網關，它旨在為微服務架構提供一種簡單、有效、統一的 API 路由管理方式。

據公告描述，當啟用和暴露 Gateway Actuator 端點時，使用 Spring Cloud Gateway 的應用程序可受到代碼注入攻擊。攻擊者可以發送特制的惡意請求，從而遠程執行任意代碼。

風險等級

高

攻擊者可利用該漏洞遠程執行任意代碼。已發現漏洞利用被公開，危害較大

影響版本

Spring Cloud Gateway < 3.1.1

Spring Cloud Gateway < 3.0.7

Spring Cloud Gateway 其他已不再更新的版本

安全版本

Spring Cloud Gateway >= 3.1.1

Spring Cloud Gateway >= 3.0.7

修復建議

官方已發布漏洞補丁及修復版本，請評估業務是否受影響后，酌情升級至安全版本

臨時緩解措施：

1.如果不需要Gateway actuator endpoint，可通過 management.endpoint.gateway.enabled: false 禁用它。

2.如果需要actuator，則應使用 Spring Security 對其進行防護，可參考：https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security。

參考鏈接

• https://tanzu.vmware.com/security/cve-2022-22947