VMware · Spring Cloud Gateway
CVE-2022-22947
VMware Spring Cloud Gateway Code Injection Vulnerability
Qué es
In spring cloud gateway versions prior to 3.1.1+ and 3.0.7+ , applications are vulnerable to a code injection attack when the Gateway Actuator endpoint is enabled, exposed and unsecured. A remote attacker could make a maliciously crafted request that could allow arbitrary remote execution on the remote host.
CISA: Spring Cloud Gateway applications are vulnerable to a code injection attack when the Gateway Actuator endpoint is enabled, exposed and unsecured.
Qué hacer
Apply updates per vendor instructions.
Plazo para las agencias federales de EE. UU.: 6 de junio de 2022
- Añadida a la lista de CISA
- 16 de mayo de 2022
- Publicada
- 3 de marzo de 2022
- Gravedad
- Crítica 10,0 CVSS 3.1
- Probabilidad de ataques en los próximos 30 días (EPSS)
- 98% entre el 0,1% superior de todas las vulnerabilidades conocidas
- Debilidad
- CWE-94
- Más detalles
- NVD · CVE.org · CISA
Todas las referencias (5)
- https://tanzu.vmware.com/security/cve-2022-22947
- https://www.oracle.com/security-alerts/cpuapr2022.html
- http://packetstormsecurity.com/files/166219/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
- https://www.oracle.com/security-alerts/cpujul2022.html
- http://packetstormsecurity.com/files/168742/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
Más fallos explotados de VMware
| Añadido | Vulnerabilidad | Producto | Gravedad | Prob. de ataque |
|---|---|---|---|---|
| 4 mar 2025 | TOCTOU Race Condition | ESXi and Workstation | Crítica 9,3 | 1,6% |
| 4 mar 2025 | Arbitrary Write | ESXi | Alto 8,2 | 1,0% |
| 4 mar 2025 | Information Disclosure | ESXi, Workstation, and Fusion | Alto 7,1 | 1,6% |
| 20 nov 2024 | Heap-Based Buffer Overflow | vCenter Server | Crítica 9,8 | 55% |
| 20 nov 2024 | Privilege Escalation | vCenter Server | Alto 7,5 | 17% |
| 30 jul 2024 | Authentication Bypass | ESXi | Media 6,8 | 27% |
| 17 jul 2024 | Incorrect Default File Permissions Vulnerability | vCenter Server | Media 6,5 | 13% |
| 22 ene 2024 | Out-of-Bounds Write | vCenter Server | Crítica 9,8 | 99,2% |
Fuentes: Known Exploited Vulnerabilities (CISA, dominio público), CVE records (cve.org) y EPSS (FIRST). La probabilidad de ataque es la estimación EPSS de que alguien intente explotar el fallo en los próximos 30 días.