近日,奇安信CERT监测到Spring Cloud Function拒绝服务漏洞(CVE-2022-22979)技术细节在互联网上公开,攻击者可以向Spring Cloud Function发送大量特制的HTTP请求消耗服务器资源,从而导致拒绝服务。鉴于这些漏洞影响范围较大,建议客户尽快做好自查及防护。

漏洞名称

Spring Cloud Function拒绝服务漏洞

公开时间

2022-06-21

更新时间

2022-06-28

CVE编号

CVE-2022-22979

其他编号

QVD-2022-9758

威胁类型

拒绝服务

技术类型

无限制的资源分配

厂商

VMware

产品

Spring Cloud Function

风险等级

奇安信CERT风险评级

风险等级

高危

蓝色(一般事件)

现时威胁状态

POC状态

EXP状态

在野利用状态

技术细节状态

已发现

未发现

未发现

已公开

漏洞描述

在Spring Cloud Function 中存在拒绝服务漏洞,攻击者可以发送大量特制的HTTP请求触发漏洞,成功利用此漏洞将消耗大量服务器资源最终导致拒绝服务。

影响版本

Spring Cloud Function < 3.2.6

旧的、不受支持的版本也会受到影响

不受影响版本

Spring Cloud Function >= 3.2.6

其他受影响组件

目前奇安信CERT已成功复现Spring Cloud Function 拒绝服务漏洞(CVE-2022-22979),截图如下:

威胁评估

漏洞名称

Spring Cloud Function 拒绝服务漏洞

CVE编号

CVE-2022-22979

其他编号

QVD-2022-9758

CVSS 3.1评级

高危

CVSS 3.1分数

7.5

CVSS向量

访问途径(AV)

攻击复杂度(AC)

网络

所需权限(PR)

用户交互(UI)

不需要

影响范围(S)

机密性影响(C)

不改变

完整性影响(I)

可用性影响(A)

危害描述

攻击者可以发送特制的HTTP请求触发漏洞,成功利用此漏洞将消耗大量服务器资源,最终导致拒绝服务。

处置建议

目前VMware官方已发布此漏洞修复版本,建议用户尽快升级至Spring Cloud Function 3.2.6及以上版本。

https://github.com/spring-cloud/spring-cloud-function/releases/tag/v3.2.6

参考资料

[1]https://tanzu.vmware.com/security/cve-2022-22979

[2]https://checkmarx.com/blog/spring-function-cloud-dos-cve-2022-22979-and-unintended-function-invocation/

声明:本文来自奇安信 CERT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。