CVE-2022-22947とは？VMware Spring Cloud Gatewayの脆弱性をわかりやすく解説

ひとことでSpring Cloud Gateway に、外からコードを送り込まれる弱点があります
深刻度10.0 緊急CVSS v3.1
まずやること3.1.1 または 3.0.7 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2022-22947
製品	VMware Spring Cloud Gateway
深刻度（CVSS）	10.0 緊急CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H`
KEVへの追加日	2022-05-16
米国政府機関の対応期限	2022-06-06
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-94（コードインジェクション）

何が起きた

Spring Cloud Gateway で、Gateway Actuator のエンドポイントが有効で、外から使え、守られていない場合に、コードインジェクションの弱点が見つかりました。攻撃者は細工した要求を送ることで、サーバーの上で任意のコード（攻撃者が好きに選べるプログラム）を実行できるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されています。NVD の評価では、ログイン不要で、離れた場所からネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Spring Cloud Gateway を使ったアプリケーションを運用している組織が対象です。Spring の公式情報では、3.1.0 と 3.0.6 以前が影響を受けます。

何をすればいい

修正版の 3.1.1 または 3.0.7 以降に更新されているか確認してください。Gateway Actuator のエンドポイントが不要なら、management.endpoint.gateway.enabled: false で無効にしてください。必要な場合は、Spring Security を使って守るよう Spring は案内しています。あわせて Spring の公式の案内を確認してください。

やることチェックリスト

3.1.1 または 3.0.7 以降に更新する
不要な Gateway Actuator を無効にする
必要な Actuator は Spring Security で守る

用語メモ

コードインジェクション用語集で見る: 入力の中にプログラムをまぎれこませて、サーバーに実行させてしまう攻撃です。
エンドポイント用語集で見る: 外から要求を受け付ける、アプリケーションの窓口となる場所です。
Spring Security: Spring で作ったアプリケーションに、ログインや権限の確認などの守りを加える仕組みです。

次に読む

同じ製品・メーカーの脆弱性VMware ESXi, Workstation, and Fusion（CVE-2025-22226）6.0 警告CVSS v3.1VMware の仮想化製品で、ホスト側のメモリの中身が漏れるおそれがある弱点です。同じ製品・メーカーの脆弱性VMware ESXi（CVE-2025-22225）8.2 重要CVSS v3.1VMware ESXi で、仮想マシンを閉じ込める仕組みから抜け出されるおそれがある弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

VMware Spring Cloud Gateway Code Injection Vulnerability

概要

Spring Cloud Gateway applications are vulnerable to a code injection attack when the Gateway Actuator endpoint is enabled, exposed and unsecured.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

VMware Spring Cloud Gateway のコードインジェクションの脆弱性（CVE-2022-22947）