KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-22947 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
当 攻击者可以访问到 Spring Cloud Gateway actuator 端点时，攻击者可构造恶意请求，创建新路由，同时利用路由的filter功能注入spel表达式，从而造成表达式注入执行任意代码。
影响范围
应用：vmware spring_cloud_gateway（影响面 Up to (excluding) 3.0.7）
应用：vmware spring_cloud_gateway（版本 3.1.0）
解决方案
1、修复方案：针对 3.1.x 版本，建议升级至 3.1.1 及其以上版本。针对 3.0.x 版本，建议升级至 3.0.7 及其以上版本 。其余官方不再维护版本均建议升级至最新版本。
2、缓解方案：禁止外界访问 Spring Cloud Gateway actuator 端点 ，修改 spring 配置将 management.endpoint.gateway.enabled 置为 false，并重启服务使配置生效。
参考信息
http://packetstormsecurity.com/files/166219/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
http://packetstormsecurity.com/files/168742/Spring-Cloud-Gateway-3.1.0-Remote-Code-Execution.html
https://tanzu.vmware.com/security/cve-2022-22947
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-22947
https://www.oracle.com/security-alerts/cpuapr2022.html
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。