PT-2021-14855 · Spring · Spring Cloud Netflix Zuul

Threedr3Am · Publicado 2021-02-23 · Atualizado 2021-05-10 · CVE-2021-22113

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Spring Cloud Netflix Zuul versões 2.2.6.RELEASE e anteriores

Descrição

A vulnerabilidade permite contornar a restrição de “Cabeçalhos Sensíveis” ao executar solicitações com URLs especialmente criadas. As aplicações que utilizam o StrictHttpFirewall do Spring Security não são afetadas, pois rejeitam solicitações que permitam esse contorno.

Recomendações

Para as versões 2.2.6.RELEASE e anteriores do Spring Cloud Netflix Zuul, considere desativar a funcionalidade “Sensitive Headers” até que um patch esteja disponível. Como solução temporária, habilite o StrictHttpFirewall do Spring Security para rejeitar solicitações que permitam contornar a restrição “Sensitive Headers”. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Authorization

Enumeração de Fraquezas

CWE-863

Identificadores relacionados

CVE-2021-22113

GHSA-VWPG-F6GW-RJVF

Produtos afetados

Spring Cloud Netflix Zuul

Referências · 8

• https://github.com/spring-cloud/spring-cloud-netflix/commit/8ecb3dca511c3ce0454e42ac31ee2331d7318c07 · Nota
• https://t.me/cvenotify/10354 · Publicação no Telegram
• https://t.me/cibsecurity/24012 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-vwpg-f6gw-rjvf · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-22113 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-22113 · Nota de Segurança
• https://tanzu.vmware.com/security/cve-2021-22113 · Aviso do Fabricante
• https://t.me/cvenotify/10724 · Publicação no Telegram