Spring Cloud Gateway现高风险漏洞,建议采取措施加强防护

DD的博客全面升级,阅读体验更佳(尤其是系列教程),后续不再通过这里发布新文章,而是改到 www.didispace.com 发布啦,奔走相告!点击直达~

3月1日,Spring官方博客发布了一篇关于Spring Cloud Gateway的CVE报告。

其中包含一个高风险漏洞和一个中风险漏洞,建议有使用Spring Cloud Gateway的用户及时升级版本到3.1.1+、3.0.7+或采用其他缓解方法加强安全防护。

有涉及的小伙伴可以看看下面具体这两个漏洞的内容和缓解方法。

CVE-2022-22947:代码注入漏洞

严重性:Critical

漏洞描述:使用Spring Cloud Gateway的应用程序在Actuator端点在启用、公开和不安全的情况下容易受到代码注入的攻击。攻击者可以恶意创建允许在远程主机上执行任意远程执行的请求。

影响范围

Spring Cloud Gateway以下版本均受影响:

  • 3.1.0
  • 3.0.0至3.0.6
  • 其他老版本

缓解方法

受影响版本的用户可以通过以下措施补救。

  • 3.1.x用户应升级到3.1.1+
  • 3.0.x用户应升级到3.0.7+
  • 如果不需要Actuator端点,可以通过management.endpoint.gateway.enable:false配置将其禁用
  • 如果需要Actuator端点,则应使用Spring Security对其进行保护

CVE-2022-22946:HTTP2 Insecure TrustManager

严重性:Medium

漏洞描述:当启用HTTP2,并且没有设置密钥存储或可信证书的应用程序将配置为使用不安全的TrustManager。这使得网关能够使用无效或自定义证书连接到远程服务。

影响范围

Spring Cloud Gateway以下版本受影响:

  • 3.1.0

缓解方法

  • 3.1.x用户升级到3.1.1+

好了,今天的学习就到这里!如果您学习过程中如遇困难?可以加入我们超高质量的Spring技术交流群,参与交流与讨论,更好的学习与进步!更多Spring Boot教程可以点击直达!,欢迎收藏与转发支持!