描述

在Spring Cloud Function 3.1.6、3.2.2及更旧的不受支持的版本中，当使用路由功能时，用户可以提供经过特殊构造的SpEL作为路由表达式，这可能导致远程代码执行并访问本地资源。

受影响的 Spring 产品和版本

• Spring Cloud Function
  • 3.1.6
  • 3.2.2
  • 较旧的、不受支持的版本也受到影响

缓解措施

受影响版本的用户应升级到3.1.7、3.2.3。无需其他步骤。已修复此问题的版本包括

• Spring Cloud Function
  • 3.1.7
  • 3.2.3

致谢

此漏洞最初由m09u3r发现并负责任地报告。

参考资料

• https://www.first.org/cvss/calculator/3.0#CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• https://cwe.mitre.org/data/definitions/770.html
• https://cwe.mitre.org/data/definitions/497.html

历史

• 2022-03-29：首次发布漏洞报告。
• 2022-03-31：更新了描述、严重性和参考资料。