Bulletin d'alerte du CERT-FR
Objet : Vulnérabilité dans VMware Spring Cloud Gateway
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Spring Cloud Gateway versions 3.0.x antérieures à 3.0.7
- Spring Cloud Gateway versions 3.1.x antérieures à 3.1.1
Résumé
Une vulnérabilité a été découverte dans VMware Spring Cloud Gateway. Elle permet à un attaquant de forger une requête malveillante spécialement conçue afin de provoquer une exécution de code arbitraire à distance.
Les applications utilisant Spring Cloud Gateway sont vulnérables à une attaque par injection de code lorsque le point de terminaison (endpoint) Gateway Actuator est activé, exposé et non sécurisé. Il est défini par la route par défaut /actuator/gateway.
Des preuves de concept sont actuellement disponibles sur internet.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité VMware cve-2022-22947 du 01 mars 2022
https://tanzu.vmware.com/security/cve-2022-22947 -
Avis de sécurité CERTFR-2022-AVI-195
/avis/CERTFR-2022-AVI-195/ -
Référence CVE CVE-2022-22947
https://www.cve.org/CVERecord?id=CVE-2022-22947
Gestion détaillée du document
| Date | Description |
|---|---|
| 03 mars 2022 | Version initiale |
| 07 octobre 2022 | Clôture de l'alerte. Cela ne signifie pas la fin d'une menace. Seule l'application de la mise à jour permet de vous prémunir contre l'exploitation de la vulnérabilité correspondante. |