【墨菲安全实验室】Spring Cloud Gateway代码注入漏洞分析（CVE-2022-22947）

漏洞简述

3月1日，VMware发布了针对Spring Cloud Gateway的漏洞通告，当actuator端点开启并对外暴露时，攻击者可以构造恶意请求实现远程任意代码执行。

Spring Cloud Gateway是Spring Cloud 生态中的API网关，包含限流、过滤等API治理功能。Actuator是Spring Boot生态中的应用监控组件，提供了通过http访问监控运行状态的能力。

当actuator端点开启时，可以通过http请求修改路由，路由中包含的filter参数会经过SPEL表达式解析，从而导致了漏洞发生。

漏洞评级为严重，受影响组件版本范围为：

• 3.1.0
• 3.0.0-3.0.6
• 以及其他更老的版本

用户需要尽快升级到3.1.1或3.0.7及以上版本，同时建议不要对公网开放actuator访问。

漏洞时间线

• 1.15日：漏洞发现者在向VMware提交了漏洞报告
• 2.17、2.18日：开发者多次提交代码进行漏洞修复
• 2.18日：开发者发布新版本

缺陷分析

通过https://github.com/spring-cloud/spring-cloud-gateway项目中的commit信息可以发现漏洞和SPEL、ShortcutConfigurable有关，开发者同时提交了相关的测试用例。