【漏洞預警】Spring Cloud Gateway 遠程代碼執行漏洞（CVE-2022-22947）

2022年3月3日，雁行安全團隊監測到 Spring 官方發布了 Spring Cloud Gateway 遠程代碼執行漏洞(CVE-2022-22947) 的風險通告，漏洞概況如下：

當攻擊者可以訪問到 Spring Cloud Gateway actuator 端點時，攻擊者可構造惡意請求，創建新路由，同時利用路由的filter功能注入spel表達式，從而造成表達式注入執行任意代碼。

漏洞影響范圍

• Spring Cloud Gateway 3.1.x < 3.1.1
• Spring Cloud Gateway < 3.0.7

安全版本

• Spring Cloud Gateway >= 3.1.1
• Spring Cloud Gateway >= 3.0.7

修復建議

對于低于3.0.7和3.1.1的版本盡快升級至安全版本

修改spring配置，將management.endpoint.gateway.enabled設置為false，禁止外界訪問Spring Cloud Gateway actuator端點

參考鏈接

https://tanzu.vmware.com/security/cve-2022-22947

https://spring.io/blog/2022/03/01/spring-cloud-gateway-cve-reports-published