Spring Cloud Gateway CVE-2022-22947 远程代码执行漏洞通告

漏洞概述

2022年3月1日，华为感知到VMware官方发布安全通告，其中Spring Cloud Gateway存在代码注入漏洞,漏洞编号为CVE-2022-22947。

攻击者可利用该漏洞远程执行任意代码。当前已发现漏洞利用细节被公开，危害较大，建议广大用户及时参考厂商提供的解决方案做好风险排查及防护，避免遭受黑客的攻击。

关键信息

受影响的版本

-          Spring Cloud Gateway < 3.1.1

-          Spring Cloud Gateway < 3.7.7

-          Spring Cloud Gateway 的其他停止更新的版本

解决方案

1.   临时解决方案

对于不需要Gateway actuator endpoint的用户，可通过配置management.endpoint.gateway.enabled: false禁用

对于仍然需要Gateway actuator endpoint的用户，可以考虑使用Spring Security 进行防护，参考：https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security

2.   华为解决方案

华为在感知到该漏洞信息以后，安全研究人员持续关注此漏洞相关信息，复现漏洞PoC（Proof-of-Concept），并立即开发IPS防护签名。目前最新IPS签名库已推送到升级网站，可供客户升级使用。

3.   厂商解决方案

升级到最新（已修复）版本, 当前以下两个版本为已发布最新版本

V3.1.1

https://github.com/spring-cloud/spring-cloud-gateway/releases/tag/v3.1.1

      V3.0.7

            https://github.com/spring-cloud/spring-cloud-gateway/releases/tag/v3.0.7

参考链接

https://tanzu.vmware.com/security/cve-2022-22947