Avis de sécurité

Alertes de sécurité


CERTFR-2022-ALE-002 : Vulnérabilité dans VMware Spring Cloud Gateway (03 mars 2022)

Publié le 3 mars 2022 13:34

Risque(s)

  • Exécution de code arbitraire à distance

Systèmes affectés

  • Spring Cloud Gateway versions 3.1.x antérieures à 3.1.1
  • Spring Cloud Gateway versions 3.0.x antérieures à 3.0.7

Résumé

Une vulnérabilité a été découverte dans VMware Spring Cloud Gateway. Elle permet à un attaquant de forger une requête malveillante spécialement conçue afin de provoquer une exécution de code arbitraire à distance.

Les applications utilisant Spring Cloud Gateway sont vulnérables à une attaque par injection de code lorsque le point de terminaison (endpoint) Gateway Actuator est activé, exposé et non sécurisé. Il est défini par la route par défaut /actuator/gateway.

Des preuves de concept sont actuellement disponibles sur internet.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

LIENS ASSOCIES


Inscrivez-vous à la newsletter CSIRT pour recevoir périodiquement les publications

Contact

contact@csirt-universitaire.org
+221 78 601 64 64
BP: XXX - Sénégal