BDU:2022-01507 (CVE-2022-22947)

Уязвимость компонента Gateway Actuator библиотеки для создания API-шлюзов Spring Cloud Gateway, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-03-28

Описание

Уязвимость компонента Gateway Actuator библиотеки для создания API-шлюзов Spring Cloud Gateway связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путем отправки специально созданного запроса

Затрагиваемое ПО и версии

Spring Cloud Gateway (до 3.1.0 включительно)Spring Cloud Gateway (от 3.0.0 до 3.0.6 включительно)

Способ устранения

Использование рекомендаций:
https://tanzu.vmware.com/security/cve-2022-22947

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

http://packetstormsecurity.com/files/166219/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html https://tanzu.vmware.com/security/cve-2022-22947 https://nvd.nist.gov/vuln/detail/CVE-2022-22947 https://github.com/carlosevieira/CVE-2022-22947 https://wya.pl/2022/02/26/cve-2022-22947-spel-casting-and-evil-beans/https://www.cisa.gov/sites/default/files/csv/known_exploited_vulnerabilities.csv

Проверьте безопасность своего сайта и почты → Полная проверка домена