Spring Cloud 突發漏洞
大家好，我是堆疊長，
Log4j2 的核彈級漏洞剛告一段落，Spring Cloud Gateway 又突發高危漏洞，又得折騰了，，，
昨天堆疊長也看到了一些安全機構發布的相關漏洞通告，Spring Cloud 官方博客也發布了高危漏洞宣告：
Spring Cloud 中的 Spring Cloud Gateway 組件被爆出了兩個安全漏洞，
Spring Cloud Gateway 是 Spring Cloud 的第二代網關組件，是 Spring Cloud Finchley 版推出來的新組件，用來代替第一代服務網關：Zuul，
Spring Cloud Gateway 的主要作用是：為微服務架構提供一種簡單、有效、統一的 API 路由管理方式，
具體可以參考：Spring Cloud Gateway VS Zuul 比較，怎么選擇？
漏洞1：
| CVE-2022-22947 | 遠程代碼執行漏洞 |
|---|---|
| 影響組件 | Spring Cloud Gateway |
| 受影響版本 | - 3.1.0 - 3.0.0 ～ 3.0.6 - 其他不再維護的舊版本 |
| 漏洞危害等級 | 高危 |
當 Spring Cloud Gateway Actuator 端點被啟用和暴露時，使用 Spring Cloud Gateway 的應用程式會存在遠程代碼注入攻擊的風險，即攻擊者可以遠程發出惡意攻擊請求，允許在遠程服務器上進行任意代碼執行，
漏洞2：
| CVE-2022-22946 | HTTP2 不安全的 TrustManager |
|---|---|
| 影響組件 | Spring Cloud Gateway |
| 受影響版本 | 3.1.0 |
| 漏洞危害等級 | 中等 |
Spring Cloud Gateway 如果配置并啟用 HTTP2，且未設定密鑰存盤或受信任證書，這樣 Spring Cloud Gateway 就能被無效或自定義的證書連接到遠程服務，
另外，如果你想關注和學習最新、最主流的 Java 技術，堆疊長會持續分享，可以持續關注公眾號Java技術堆疊，公眾號第一時間推送，
解決方案
1、升級版本
Spring Cloud 2021.0.x 用戶可以把主版本升級到 Spring Cloud 2021.0.1，Spring Cloud Gateway 已升級到了 3.1.1，
這個在前幾天的《新年首發！Spring Cloud 2021.0.1 發布》最新版本發布時，我并沒有看到修復這個高危漏洞的說明，昨天官方博客發了這個漏洞通告又含在這個版本中，這就有點摸不到頭腦了，，
Spring Cloud 2020.0.x 用戶可以自行升級到 Spring Cloud Gateway 3.0.7，
其他不再維護的老版本也有漏洞，只是官方不再維護了，是否可自己升級，兼容性不得而知，
2、臨時方案（僅限第1個漏洞）
這個臨時方案僅限第 1 個漏洞，第二個漏洞只能升級 Spring Cloud 主版本，
如果不需要用到 Gateway actuator 端點，可通過以下配置禁用：
management.endpoint.gateway.enabled: false
如果需要 Gateway actuator 端點，則應使用 Spring Security 對其進行防護，可參考以下網址：
https://docs.spring.io/spring-boot/docs/current/reference/html/actuator.html#actuator.endpoints.security
總結
Spring Cloud Gateway 這兩個漏洞還挺重要的，特別是第一個遠程代碼執行，特別危險，自行檢查，廢話不多說了，如果有涉及到的，盡快修復保平安，
學 Spring Cloud 必須先掌握 Spring Boot，如果你還沒用過 Spring Boot，今天我就送你一份 《Spring Boot 學習筆記》這個很全了，包括底層實作原理及代碼實戰，非常齊全，助你快速打通 Spring Boot 的各個環節，
Spring Boot 理論和實戰原始碼倉庫：
https://github.com/javastacks/spring-boot-best-practice
最后，如果你想關注和學習最新、最主流的 Java 技術，可以持續關注公眾號Java技術堆疊，公眾號第一時間推送，
參考資料：
https://spring.io/blog/2022/03/01/spring-cloud-gateway-cve-reports-published
https://tanzu.vmware.com/security/cve-2022-22947
著作權宣告： 本文系公眾號 "Java技術堆疊" 原創，原創實屬不易，轉載、參考本文內容請注明出處，抄襲者一律舉報＋投訴，并保留追究其法律責任的權利，
近期熱文推薦：
1.1,000+ 道 Java面試題及答案整理(2022最新版)
2.勁爆！Java 協程要來了，，，
3.Spring Boot 2.x 教程，太全了！
4.別再寫滿屏的爆爆爆炸類了，試試裝飾器模式，這才是優雅的方式！！
5.《Java開發手冊（嵩山版）》最新發布，速速下載！
覺得不錯，別忘了隨手點贊+轉發哦！
轉載請註明出處，本文鏈接：https://www.uj5u.com/houduan/437867.html
標籤：Java