Vulnérabilité dans VMware Spring Cloud Gateway

RISQUE

• Exécution de code arbitraire à distance

SYSTÈMES AFFECTÉS

• Spring Cloud Gateway versions 3.1.x antérieures à 3.1.1


• Spring Cloud Gateway versions 3.0.x antérieures à 3.0.7

RÉSUMÉ

Une vulnérabilité a été découverte dans VMware Spring Cloud Gateway. Elle permet à un attaquant de forger une requête malveillante spécialement conçue afin de provoquer une exécution de code arbitraire à distance.

Les applications utilisant Spring Cloud Gateway sont vulnérables à une attaque par injection de code lorsque le point de terminaison (endpoint) Gateway Actuator est activé, exposé et non sécurisé. Il est défini par la route par défaut /actuator/gateway.

Des preuves de concept sont actuellement disponibles sur internet.

SOLUTION

• Se référer au bulletin de sécurité VMware cve-2022-22947 pour l'obtention des correctifs.

Source : CERT FR