VMware Spring Cloud Netflix模板解析漏洞通告(CVE-2021-22053)POC已公布

2022-01-20 新華三主動安全

VMware軟體原生集成計算、網絡和存儲虛擬化技術及自動化和管理功能,支持企業革新其基礎架構、自動化IT服務的交付和管理及運行新式雲原生應用和基於微服務應用。近日,新華三攻防實驗室威脅預警團隊監測到VMware官方發布了安全公告,修復了一個VMware Spring Cloud Netflix中的模板解析漏洞,惡意攻擊者可以利用該漏洞遠程執行代碼,在此新華三攻防實驗室建議受影響的用戶儘快安裝更新補丁,以免受到影響。

該漏洞是由於VMware Spring Cloud在同時使用spring-cloud-netflix-hystrix-dashboard 和 spring-boot-starter-thymeleaf 的應用程式時,公開了在解析視圖模板期間執行請求URI路徑中提交代碼的方法。當在 『/hystrix/monitor;[user-provided data]` 上發出請求時,`hystrix/monitor` 後面的路徑元素將被識別為 SpringEL 表達式,從而導致代碼執行。

2.2.0.Release <= VMware Spring Cloud

Netflix <= 2.2.9.Release

漏洞等級:高危

目前官方已發布更新補丁,請受影響用戶及時更新下載,官方連結:https://tanzu.vmware.com/security/cve-2021-22053

1、新華三安全設備防護方案

新華三IPS規則庫將在1.0.157版本支持對該漏洞的識別,新華三全系安全產品可通過升級IPS特徵庫識別該漏洞的攻擊流量,並進行主動攔截。

2、態勢感知產品解決方案

新華三態勢感知產品已支持該漏洞的檢測,通過信息搜集整合、數據關聯分析等綜合研判手段,發現網絡中遭受該漏洞攻擊及失陷的資產。

3、新華三雲安全能力中心解決方案

新華三雲安全能力中心知識庫已更新該漏洞信息,可查詢對應漏洞產生原理、升級補丁、修復措施等。

https://tanzu.vmware.com/security/cve-2021-22053  

相關焦點

  • 【漏洞通告】VMware ESXi身份驗證繞過漏洞(CVE-2021-21994)
    未公開在野利用否 0x01 漏洞詳情2021年7月13日,Vmware發布安全公告,修復了VMware ESXi 中的一個身份驗證繞過漏洞(CVE-2021-21994)和一個拒絕服務漏洞(CVE-2021-21995),這2個漏洞影響VMware ESXi和VMwareCloud Foundation
  • 騰訊安全威脅情報中心推出11月必修安全漏洞清單
    漏洞狀態:類別狀態安全補丁已公開漏洞細節已公開poc已公開在野利用已發現風險等級:概述:2021 年 11 月 22 日,VMware 發布安全公告披露了Spring Cloud Netflix漏洞(CVE-2021-22053)風險,漏洞威脅等級:高危,CVSS評分7.5。 Vmware VMwareSpring Cloud Netflix是美國威睿(Vmware)公司的一個服務。
  • PoC已公開!VMware產品多個高危漏洞安全風險通告
    的風險通告,其中包括VMware vCenter Server遠程代碼執行漏洞(CVE-2021-21972)、VMware ESXi堆溢出漏洞(CVE-2021-21974)兩個高危漏洞,目前官方已有可更新版本。
  • 【漏洞通告】VMware vCenter Server任意文件讀取漏洞 (CVE-2021-21980)
    0x00 漏洞概述CVE   IDCVE-2021-21980時
  • 【漏洞通告】VMware vCenter Server文件上傳漏洞 CVE-2021-22005
    漏洞名稱 : VMware vCenter Server文件上傳漏洞 CVE-2021-22005
  • CVE-2021-3156:Sudo 堆緩衝區溢出漏洞通告
    對於RHEL 8,使用命令安裝 sudo debuginfo:debuginfo-install sudo。2.
  • 【漏洞預警】sudo堆溢出漏洞通告(CVE-2021-3156)含部分POC
    一、漏洞描述1月26日,Sudo發布安全通告,修復了一個類Unix作業系統在命令參數中轉義反斜槓時存在基於堆的緩衝區溢出漏洞。
  • VMWare 虛擬環境逃逸漏洞通告
    VMWare發布 緩衝區溢出 、 權限提升 兩處漏洞本地具有管理員權限的攻擊者通過執行特製的二進位程序,可造成虛擬環境逃逸,並控制宿主主機/伺服器。兩處漏洞均由Qihoo 360 Vulcan Team 在天府杯向VMWare提交 對此,360CERT建議廣大用戶及時將  VMware軟體  升級到最新版本。
  • 漏洞分析 | CVE-2021-40444
    >隨著cve-2021-40444的披露,隨機引爆了全球的網絡安全,雖然最近微軟發布了補丁,但是cve-2021-40444的利用卻越發猖狂,本人深入分析了這個漏洞。cve-2021-40444的poc很快公開在了github[2]上,poc的使用很簡單,通過sudo python3
  • Spring Cloud 2020.0.0正式發布,再見了Netflix
    ❝雖然有Zuul 2.x,Archaius 2.x,但它們均不能向下兼容,無法平滑升級,因此幾乎等於無法使用❞從2018年至今處於維護狀態的模塊有(包括其對應的starter,此處並未列出):spring-cloud-netflix-archaiusspring-cloud-netflix-hystrix-contractspring-cloud-netflix-hystrix-dashboardspring-cloud-netflix-hystrix-streamspring-cloud-netflix-hystrixspring-cloud-netflix-ribbonspring-cloud-netflix-turbine-streamspring-cloud-netflix-turbinespring-cloud-netflix-zuul1
  • CVE-2021-40444 漏洞深入分析
    可以發現其是指向文件的更新連結從樣本庫眾獲取到mountain.html後,我們打開一看,發現全部都混淆了,基本經過簡單的靜態分析與調試,基本上就是它會去請求伺服器獲取一個cab文件,並且會通過執行cpl文件去執行一個inf然後通過樣本庫獲取到這個cab,初步分析這個cab,發現了其解壓路徑是
  • Spring Cloud Netflix項目進入維護模式之我見
    -available-now#spring-cloud-netflix-projects-entering-maintenance-mode。spring-cloud-netflix-hystrix-dashboardspring-cloud-netflix-hystrix-streamspring-cloud-netflix-hystrixspring-cloud-netflix-ribbonspring-cloud-netflix-turbine-streamspring-cloud-netflix-turbine
  • VMware_vCenter 近期漏洞分析
    從官方通告能夠猜到漏洞入口是vsan插件的未授權訪問,為了減少幹擾代碼的影響,我們對漏洞修復前後的兩個版本(VMware-VCSA-all-6.7.0-18010531、VMware-VCSA-all-6.7.0-17713310
  • Saltstack高危漏洞(CVE-2021-25281等)風險通告,騰訊安全全面檢測
    2021年2月25日,SaltStack發布安全更新,修復了由騰訊安全雲鼎實驗室提交的三個安全漏洞。
  • SpringCloud系列之服務容錯保護Netflix Hystrix
    線程池隊列/信號量是否已滿?>RELEASE</version> </dependency>本博客的是基於spring-cloud-starter-netflix-eureka-client進行試驗,試驗前要運行eureka服務端,eureka服務提供者
  • CVE-2021-23017:nginx DNS解析漏洞PoC公開
    漏洞評級高危漏洞確認受影響版本0.6.18 - 1.20.0確認修復版本1.21.0、1.20.1廠商F5, Inc廠商官網https://nginx.org/廠商參考資料https://mailman.nginx.org/pipermail/nginx-announce/2021/000300.html
  • 【安全風險通告】VMware vCenter Server多個漏洞安全風險通告
    近日,奇安信CERT監測到VMware官方發布多個VMware Cloud Foundation/VMware vCenter Server的中/高危漏洞,其中包括:VMware vCenter Server 文件上傳漏洞 (CVE-2021-22005)VMware vCenter Server 本地提權漏洞 (CVE-2021-21991)
  • 【安全風險通告】VMware vCenter Server服務端請求偽造漏洞安全風險通告
    該漏洞不同於11月23日官方發布的CVE-2021-21980 VMware vCenter Server任意文件讀取漏洞及CVE-2021-22049 VMware vCenter Server服務端請求偽造漏洞通告。
  • 【漏洞通告】VMware 多個高危漏洞
    2021年2月24日,深信服安全團隊監測到一則VMware多個組件存在遠程代碼執行和信息洩露漏洞的信息,漏洞編號:CVE-2021-21972/CVE-2021-21973/CVE-2021-21974,漏洞危害:高危。攻擊者可利用該漏洞在可訪問443埠的條件下,在運行受影響版本vCenter Server的底層作業系統上以不受限制的權限執行命令。
  • GRUB2 BootHole漏洞 (CVE-2020-10713) 通告
    這個漏洞還涉及到任何使用具有標準Microsoft Third Party UEFI Certificate Authority的Secure Boot的Windows設備,例如工業、醫療、金融等行業中使用的設備均受影響。該漏洞導致這些設備易遭到例如最近使用惡意UEFI引導程序的攻擊活動。Eclypsium已和多家行業如OS廠商、計算機製造商和應急響應中心協調披露該漏洞。