KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2022-46166 的安全漏洞（危害等级：高危）已公开披露，相关用户应尽快排查并完成修复。
漏洞介绍
Spring Boot Admin是一个用于管理Spring Boot应用程序的开源管理用户界面，用于监控Spring Boot单机或集群项目，它提供详细的健康信息、内存信息、JVM系统和环境属性、垃圾回收信息、日志设置和查看、定时任务查看、Spring Boot缓存查看和管理等功能。
当Spring Boot Admin管理的application中启用了notifier ，并且存在弱口令或者未授权时，攻击者可利用相关接口设置相关配置，触发SpEL表达式，执行任意命令。
影响范围
2.6.0 ≤ Spring Boot Admin < 2.6.10
2.7.0 ≤ Spring Boot Admin < 2.7.8
3.0.0 ≤ Spring Boot Admin < 3.0.0-M6
安全版本
2.6.10
2.7.8
3.0.0-M6
影响范围
应用：codecentric spring_boot_admin（影响面 Up to (excluding) 2.6.10）
应用：codecentric spring_boot_admin（影响面 Up to (excluding) 2.7.8）
应用：codecentric spring_boot_admin（版本 3.0.0）
解决方案
1、官方已发布安全更新，建议升级至最新版本。
2、若暂无法升级，可关闭notifier，或者设置相关策略禁止以POST方式访问env 接口。
参考信息
https://github.com/codecentric/spring-boot-admin/commit/c14c3ec12533f71f84de9ce3ce5ceb7991975f75
https://github.com/codecentric/spring-boot-admin/security/advisories/GHSA-w3x5-427h-wfq6
KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。