Spring Cloud Gateway 高危漏洞加固建議
漏洞說明
Spring Cloud Gateway 是 Spring Cloud 的?個(gè)全新項(xiàng)?，基于?性能的 Reactor 模式響應(yīng)式通信框架 Netty，異步?阻塞模型等技術(shù)開發(fā)，旨在為微服務(wù)架構(gòu)提供?種簡(jiǎn)單有效的統(tǒng)?的 API 路由管理?式。
Spring Cloud Gateway 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2022-22947）發(fā)生在 Spring Cloud Gateway 應(yīng)用程序的 actuator 端點(diǎn)，其在啟用、公開和不安全的情況下容易受到代碼注入的攻擊。攻擊者可通過該漏洞惡意創(chuàng)建允許在遠(yuǎn)程主機(jī)上執(zhí)行任意遠(yuǎn)程執(zhí)行的請(qǐng)求。
Spring Boot Actuator 模塊提供了生產(chǎn)級(jí)別的功能，比如健康檢查，審計(jì)，指標(biāo)收集，HTTP 跟蹤等，幫助我們監(jiān)控和管理 Spring Boot 應(yīng)用。這個(gè)模塊是一個(gè)采集應(yīng)用內(nèi)部信息暴露給外部的模塊，上述的功能都可以通過 HTTP 和 JMX 訪問。因?yàn)楸┞秲?nèi)部信息的特性,生產(chǎn)上不得對(duì)外暴露相關(guān)接口，spring cloud gateway 此漏洞也是因?yàn)榇硕丝趯?duì)外暴露造成
影響版本
以下版本均受影響：
- 3.1.0
- 3.0.0 - 3.0.6
- 老版本
解決方案
- 重要建議: 不對(duì)外暴露 actuator 端點(diǎn)，通過防火墻控制相關(guān)訪問權(quán)限，不要直接關(guān)閉 actuator ，避免內(nèi)網(wǎng)監(jiān)控程序獲取埋點(diǎn)信息失敗。
#?如果使用nginx?轉(zhuǎn)發(fā)，如下設(shè)置避免端點(diǎn)安全問題
if?($request_uri?~?"/actuator"){
????return?403;
}
- 版本加固: 升級(jí)至安全版本 3.1.x -> 3.1.1，3.0.x -> 3.0.7+
運(yùn)維最小化
1：系統(tǒng)安裝最小化，即選包最小化，yum 安裝軟件包最小化，不裝無用包。
2：開機(jī)自啟動(dòng)服務(wù)最小化，即無用的服務(wù)不開啟。
3：操作命令最小化，例如使用 rm -i test.txt 而不使用 rm -rf test.txt
4：登錄 Linux 用戶最小化，平時(shí)養(yǎng)成不使用 root 賬號(hào)登錄的好習(xí)慣。
5：普通用戶授權(quán)最小化，即只給必須的管理系統(tǒng)的命令。
6：Linux 系統(tǒng)文件及目錄的權(quán)限的最小化，禁止隨意更改刪除