CVE Intelligence
Análise Assistido por IA

CVE-2022-22947: Vulnerabilidade de Injeção de Código no VMware Spring Cloud Gateway

A CVE-2022-22947 é uma falha crítica de injeção de código (CWE-917, Injeção de Expression Language) no VMware Spring Cloud Gateway quando o endpoint Actuator do Gateway está habilitado, exposto e sem proteção. O registro informa pontuação CVSS 3.1 de 10 e que a falha consta no catálogo KEV da CISA. Administradores devem atualizar para as versões corrigidas indicadas pelas fontes e restringir o acesso ao endpoint Actuator.

Publicada em 13/10/2026 · Atualizada em 13/10/2026 · Read in English

Visão geral

A CVE-2022-22947 afeta o VMware Spring Cloud Gateway. Segundo o registro, as aplicações são vulneráveis a injeção de código quando o endpoint Gateway Actuator está habilitado, exposto e sem proteção. A fraqueza é classificada como CWE-917, Injeção de Expression Language. A entrada no NVD foi publicada em 03/03/2022.

Impacto

  • O registro descreve um atacante remoto que envia uma requisição elaborada, o que poderia permitir a execução remota arbitrária no host.
  • O vetor CVSS 3.1 informado pelo NVD é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H, com pontuação base de 10 (crítica).
  • Os dados SSVC do registro indicam exploração ativa, automatizável como sim e impacto técnico total.

Produtos e versões afetados

O registro lista vários produtos. As entradas relacionadas ao Spring são:

  • VMware Spring Cloud Gateway: versão 3.1.0 e versões anteriores a 3.0.7.
  • Maven org.springframework.cloud:spring-cloud-gateway: versões anteriores a 3.0.7 e versões de 3.1.0 até antes de 3.1.1.

As versões corrigidas indicadas no registro são 3.0.7 e 3.1.1 para o artefato Maven, conforme a GitHub Security Advisory GHSA-3gx9-37ww-9qw6. O registro também cita vários produtos Oracle Communications e Oracle Commerce que dependem do componente afetado; consulte os alertas de segurança da Oracle para as correções específicas.

Status de exploração

O catálogo Known Exploited Vulnerabilities da CISA lista esta CVE, com data de inclusão em 16/05/2022 e prazo em 06/06/2022, portanto a exploração ativa é confirmada por essa fonte. O registro também indica probabilidade EPSS muito alta. Há duas entradas públicas relacionadas a exploits nas referências, do Packet Storm Security; seu conteúdo não foi analisado aqui e nenhum detalhe de exploração é reproduzido nesta análise.

Correção e mitigação

  • Atualize o Spring Cloud Gateway para uma versão corrigida: 3.0.7 ou posterior na linha 3.0.x, ou 3.1.1 ou posterior na linha 3.1.x, conforme indicado no registro.
  • Consulte o aviso de segurança do VMware Tanzu para orientações de mitigação do fabricante: VMware Tanzu CVE-2022-22947.
  • Aplique as correções do Oracle Critical Patch Update para os produtos Oracle listados como afetados: CPU de abril de 2022 da Oracle e CPU de julho de 2022 da Oracle.
  • Restrinja ou proteja o endpoint Gateway Actuator para que não fique exposto nem sem autenticação, já que a condição vulnerável depende dessa configuração.

Orientações de detecção

  • Faça o inventário das aplicações que usam Spring Cloud Gateway e identifique a versão da dependência spring-cloud-gateway.
  • Verifique se o endpoint Gateway Actuator está habilitado, acessível a partir de redes não confiáveis e sem autenticação.
  • Revise os logs de web e do gateway em busca de requisições incomuns direcionadas a caminhos do Actuator, e monitore atividade inesperada de processos ou comandos nos hosts afetados.

Limitações das informações disponíveis

  • O registro não descreve o formato exato das requisições nem a mecânica interna, e esta análise não os inclui.
  • Nem todas as versões de produtos Oracle afetados são totalmente esclarecidas pelo registro; o status de correção deve ser confirmado com a Oracle.
  • A data do EPSS no registro é 13/10/2026, que deve ser tratada como a data daquela pontuação e não como valor atual verificado.
  • Não é possível afirmar, com base no registro, se o campo ransomware_use (Unknown) reflete alguma campanha.

Perguntas frequentes

Quais versões são corrigidas?

O registro indica 3.0.7 e 3.1.1 como versões corrigidas do artefato Maven spring-cloud-gateway, citadas no aviso GitHub GHSA-3gx9-37ww-9qw6.

Esta vulnerabilidade está sendo explorada?

Sim, segundo o registro ela consta no catálogo Known Exploited Vulnerabilities da CISA, o que confirma exploração ativa.

Qual configuração torna o sistema vulnerável?

O registro afirma que o problema se aplica quando o endpoint Gateway Actuator está habilitado, exposto e sem proteção.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.