漏洞名称：
Spring Boot Admin远程代码执行漏洞
组件名称：
Spring Boot Admin
影响范围：
2.6.0≤Spring Boot Admin < 2.6.10
2.7.0≤Spring Boot Admin < 2.7.8
3.0.0≤Spring Boot Admin < 3.0.0-M6
漏洞类型：
远程代码执行
利用条件：
1、用户认证：不需要用户认证
2、前置条件：开启任意一种Notifier
3、触发方式：远程
综合评价：
<综合评定利用难度>：未知
<综合评定威胁等级>：严重，能造成远程代码执行。
官方解决方案：
已发布
漏洞分析
组件介绍
Spring Boot Admin是一个用于管理Spring Boot应用程序的开源管理用户界面。它可以通过http的方式，或Spring Cloud服务发现机制注册到Spring Boot Admin中，然后就可以实现对Spring Boot项目的可视化管理和查看了。
Spring Boot Admin可以监控Spring Boot单机或集群项目，它提供详细的健康信息、内存信息、JVM系统和环境属性、垃圾回收信息、日志设置和查看、定时任务查看、Spring Boot缓存查看和管理等功能。
漏洞简介
2022年12月14日，深信服安全团队监测到Spring Boot官方发布了一则漏洞安全通告，通告披露了Spring Boot Admin服务器组件存在漏洞，漏洞等级：严重，漏洞编号：CVE-2022-46166。
该漏洞在Notifier处存在代码注入漏洞，攻击者可利用该漏洞在未授权情况下，通过UI界面构造恶意数据进行远程代码执行攻击，最终可获取服务器最高权限。
影响范围
目前受影响的Spring Boot Admin版本：
2.6.0 ≤ Spring Boot Admin < 2.6.10
2.7.0 ≤ Spring Boot Admin < 2.7.8
3.0.0 ≤ Spring Boot Admin < 3.0.0-M6
解决方案
官方修复建议
当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：
https://github.com/codecentric/spring-boot-admin/releases
临时修复建议
1.禁用任何通知程序。
2.不允许在/env执行器端点上进行POST方式的写访问请求。
参考链接
https://nvd.nist.gov/vuln/detail/CVE-2022-46166
时间轴
2022/12/14
深信服监测到Spring Boot Admin官方发布安全更新。
2022/12/14
深信服千里目安全技术中心发布漏洞通告。
点击阅读原文，及时关注并登录深信服智安全平台，可轻松查询漏洞相关解决方案。
原文始发于微信公众号（深信服千里目安全技术中心）：【漏洞通告】Spring Boot Admin远程代码执行漏洞 CVE-2022-46166
- 左青龙
- 微信扫一扫
-
- 右白虎
- 微信扫一扫
-
评论