描述

Spring Cloud Gateway Server 转发来自不受信任代理的 X-Forwarded-For 和 Forwarded 请求头。

受影响的 Spring 产品和版本

Spring Cloud Gateway Server

• 2.2.10.RELEASE - 4.2.2, 4.3.0-{M1, M2, RC1}

Spring Cloud Gateway Server MVC

• 4.1.7 - 4.2.2, 4.3.0-{M1, M2, RC1}

缓解措施

受影响版本的用户应升级到相应的修复版本。

注意：旧的不受支持的版本也受到影响，应升级到受支持的版本。

通过修复版本，X-Forwarded-* 和 Forwarded 请求头功能将默认禁用。如果您需要 X-Forwarded-* 或 Forwarded 请求头功能，升级后您需要执行以下操作：

1. 将 spring.cloud.gateway.trusted-proxies 设置为指定您信任的代理的 Java 正则表达式。如果您正在使用 Spring Cloud Gateway Server MVC（仅从 4.1.x 开始可用），请设置 spring.cloud.gateway.mvc.trusted-proxies。例如，对于 Spring Cloud Gateway Server：

spring.cloud.gateway.trusted-proxies=10\.0\.0\..*

例如，对于 Spring Cloud Gateway Server MVC：

spring.cloud.gateway.mvc.trusted-proxies=10\.0\.0\..*

如果您无法升级，您可以：

1. 如果您正在使用 spring-cloud-starter-gateway，请设置 spring.cloud.gateway.forwarded.enabled=false 和 spring.cloud.gateway.x-forwarded.enabled=false。或者，如果您正在使用 spring-cloud-starter-gateway-mvc（仅从 4.1.x 开始可用），请设置 spring.cloud.gateway.mvc.forwarded-request-headers-filter.enabled=false 和 spring.cloud.gateway.mvc.x-forwarded-request-headers-filter.enabled=false。

致谢

此漏洞由 Vilius Šumskas 发现并负责任地报告。

参考资料

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N&version=3.1