VMware · Spring Cloud Gateway
CVE-2022-22947
VMware Spring Cloud Gateway Code Injection Vulnerability
De quoi s'agit-il
In spring cloud gateway versions prior to 3.1.1+ and 3.0.7+ , applications are vulnerable to a code injection attack when the Gateway Actuator endpoint is enabled, exposed and unsecured. A remote attacker could make a maliciously crafted request that could allow arbitrary remote execution on the remote host.
CISA: Spring Cloud Gateway applications are vulnerable to a code injection attack when the Gateway Actuator endpoint is enabled, exposed and unsecured.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 6 juin 2022
- Ajoutée à la liste de la CISA
- 16 mai 2022
- Publiée
- 3 mars 2022
- Gravité
- Critique 10,0 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 98% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-94
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (5)
- https://tanzu.vmware.com/security/cve-2022-22947
- https://www.oracle.com/security-alerts/cpuapr2022.html
- http://packetstormsecurity.com/files/166219/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
- https://www.oracle.com/security-alerts/cpujul2022.html
- http://packetstormsecurity.com/files/168742/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
Autres failles exploitées chez VMware
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 4 mars 2025 | TOCTOU Race Condition | ESXi and Workstation | Critique 9,3 | 1,6% |
| 4 mars 2025 | Arbitrary Write | ESXi | Élevé 8,2 | 1,0% |
| 4 mars 2025 | Information Disclosure | ESXi, Workstation, and Fusion | Élevé 7,1 | 1,6% |
| 20 nov. 2024 | Heap-Based Buffer Overflow | vCenter Server | Critique 9,8 | 55% |
| 20 nov. 2024 | Privilege Escalation | vCenter Server | Élevé 7,5 | 17% |
| 30 juil. 2024 | Authentication Bypass | ESXi | Moyenne 6,8 | 27% |
| 17 juil. 2024 | Incorrect Default File Permissions Vulnerability | vCenter Server | Moyenne 6,5 | 13% |
| 22 janv. 2024 | Out-of-Bounds Write | vCenter Server | Critique 9,8 | 99,2% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.