描述

Spring Cloud Gateway Server 轉發來自不受信任代理的 X-Forwarded-For 和 Forwarded 請求頭。

受影響的 Spring 產品和版本

Spring Cloud Gateway Server

• 2.2.10.RELEASE - 4.2.2, 4.3.0-{M1, M2, RC1}

Spring Cloud Gateway Server MVC

• 4.1.7 - 4.2.2, 4.3.0-{M1, M2, RC1}

緩解措施

受影響版本的使用者應升級到相應的修復版本。

注意：舊的不受支援的版本也受到影響，應升級到受支援的版本。

透過修復版本，X-Forwarded-* 和 Forwarded 請求頭功能將預設停用。如果您需要 X-Forwarded-* 或 Forwarded 請求頭功能，升級後您需要執行以下操作：

1. 將 spring.cloud.gateway.trusted-proxies 設定為指定您信任的代理的 Java 正則表示式。如果您正在使用 Spring Cloud Gateway Server MVC（僅從 4.1.x 開始可用），請設定 spring.cloud.gateway.mvc.trusted-proxies。例如，對於 Spring Cloud Gateway Server：

spring.cloud.gateway.trusted-proxies=10\.0\.0\..*

例如，對於 Spring Cloud Gateway Server MVC：

spring.cloud.gateway.mvc.trusted-proxies=10\.0\.0\..*

如果您無法升級，您可以：

1. 如果您正在使用 spring-cloud-starter-gateway，請設定 spring.cloud.gateway.forwarded.enabled=false 和 spring.cloud.gateway.x-forwarded.enabled=false。或者，如果您正在使用 spring-cloud-starter-gateway-mvc（僅從 4.1.x 開始可用），請設定 spring.cloud.gateway.mvc.forwarded-request-headers-filter.enabled=false 和 spring.cloud.gateway.mvc.x-forwarded-request-headers-filter.enabled=false。

致謝

此漏洞由 Vilius Šumskas 發現並負責任地報告。

參考資料

• https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator?vector=AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N&version=3.1