CVE-2025-41243

چکیده

آسیب‌پذیری در Spring Cloud Gateway Server WebFlux به دلیل تزریق عبارات زبان بیانی در اندپوینت actuator است. مهاجم بدون نیاز به احراز هویت می‌تواند ویژگی‌های Spring Environment را تغییر دهد. این ضعف فقط در اپلیکیشن‌هایی وجود دارد که actuator را با تنظیمات exposure.include=gateway فعال کرده و اندپوینت آن‌ها ناامن است.

توضیحات

آسیب‌پذیری CVE-2025-41243 در Spring Cloud Gateway Server WebFlux ناشی از تزریق عبارات زبان بیانی مطابق با CWE-917 و کنترل نامناسب تولید کد مطابق با CWE-94 است. این ضعف زمانی قابل بهره‌برداری است که اندپوینت مدیریتی actuator برای گیت‌وی فعال شده باشد (تنظیم management.endpoints.web.exposure.include=gateway) و این اندپوینت‌ها از بیرون در دسترس بوده و به‌صورت ناامن (unsecured) پیکربندی شده باشند. در این حالت مهاجم بدون احراز هویت می‌تواند با ارسال درخواست‌های HTTP (مانند POST یا GET) به مسیر /actuator/gateway عبارات مخرب زبان بیانی (مثلاً SpEL) را در پیلود درخواست تزریق کند و مقادیر موجود در Spring Environment را تغییر دهد.

با دستکاری این ویژگی‌های محیطی، مهاجم می‌تواند منطق اجرا، پیکربندی برنامه یا مقادیر محرمانه را تغییر داده یا افشا کند و در مواردی موجب اجرای کد دلخواه و اختلال در عملکرد سرویس شود. این حمله از راه دور، بدون نیاز به تعامل کاربر و بدون نیاز به سطح دسترسی‌ بالا قابل خودکارسازی است. سطح حمله شبکه‌ای (HTTP) بوده و می‌تواند موجب تأثیرات شدید بر محرمانگی، یکپارچگی و در دسترس‌پذیری سیستم شود.

لازم به ذکر است که این ضعف مخصوص پیاده‌سازی WebFlux از Spring Cloud Gateway است و نسخه‌های مبتنی بر WebMVC تحت‌تأثیر آن قرار نمی‌گیرند. تیم امنیتی Spring در سپتامبر 2025 پچ‌های امنیتی را منتشر کرده و توصیه می کند که در صورت عدم امکان به‌روزرسانی، اندپوینت گیت وی را از management.endpoints.web.exposure.include حذف کرده یا دسترسی به اندپوینت‌های actuator را با کنترل دسترسی مناسب محدود و امن کنید.

CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که Spring Cloud Gateway را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بحرانی در Spring Cloud Gateway Server WebFlux، ریسک تزریق زبان عبارات زبان بیانی و تغییر غیرمجاز ویژگی‌های محیطی را از راه دور افزایش می‌دهد و می‌تواند منجر به اجرای کد دلخواه یا افشای داده‌های حساس شود. با توجه به انتشار پچ‌های امنیتی در سپتامبر 2025 ، اجرای اقدامات زیربرای جلوگیری از بهره‌برداری و کاهش سطح ریسک ضروری است:

• به‌روزرسانی فوری: تمام اپلیکیشن‌های Spring Cloud Gateway را به نسخه‌های پچ‌شده (مانند 4.3.1، 4.2.5، 4.1.11 یا 3.1.11 بر اساس شاخه) به‌روزرسانی کنید. به‌روزرسانی، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• ایمن سازی گیت وی: اندپوینت‌های actuator را از endpoints.web.exposure.include حذف کنید یا آنها را با استفاده از Spring Security (مانند Basic Authentication یا JWT) ایمن سازید. همچنین، دسترسی به این اندپوینت‌ها را فقط به localhost محدود کنید.
• محدودسازی دسترسی: actuator را پشت فایروال یا پروکسی معکوس (مانند Nginx) قرار دهید و دسترسی را به IPهای معتبر محدود نمایید.
• نظارت و ثبت لاگ: لاگ‌های actuator و ارزیابی‌های SpEL را با سطح DEBUG فعال کنید و با ابزارهایی مانند ELK Stack یا Splunk نظارت نمایید تا هرگونه تزریق مشکوک شناسایی شود.
• استفاده از فایروال اپلیکیشن وب (WAF): ترافیک HTTP به actuator را با فایروال اپلیکیشن وب مانند ModSecurity فیلتر کنید تا پیلودهای مخرب SpEL مسدود شوند.
• ایزوله‌سازی: اپلیکیشن‌های Gateway را در کانتینرهای Docker با استفاده از Network Policies یا Kubernetes محدود کنید و از سیستم‌های مدیریت اطلاعات حساس (مثل Vault) برای محافظت ویژگی‌های حساس استفاده کنید.
• تست امنیتی: اپلیکیشن‌ها را با ابزارهایی مانند OWASP ZAP یا Burp Suite اسکن کنید تا اندپوینت‌های actuator تست شوند. همچنین از روش Fuzzing (تست تصادفی ورودی‌ها) برای ارزیابی مقاومت در برابر تجزیه SpEL استفاده کنید.
• آموزش توسعه‌دهندگان: تیم‌های Java/Spring را درباره ریسک SpEL Injection در actuator و ضرورت ایمن سازی اندپوینت ها آموزش دهید.

اجرای این اقدامات، به‌ویژه به‌روزرسانی فوری و ایمن‌سازی actuator، ریسک بهره‌برداری از این آسیب‌پذیری را کاهش داده و امنیت گیت وی های reactive Spring Cloud را به‌صورت قابل‌توجهی افزایش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

با صرف نظر از دفاع در عمق موارد زیر ممکن هستند.

Initial Access (TA0001)
این ضعف به مهاجمِ از راه دور و بدون احراز هویت امکان دسترسی اولیه به بدنه برنامه را می‌دهد — کافیست اندپوینت مدیریتی actuator/gateway از بیرون قابل دسترس و بدون کنترل باشد.

Execution (TA0002)
حمله از طریق تزریق SpEL (expression injection / code injection) باعث تغییر Spring Environment و در مواردی اجرای کد دلخواه در context اپلیکیشن می‌شود؛ این مرحله هسته خطر است و می‌تواند منجر به RCE یا تغییر پیکربندی‌های حساس گردد.

Credential Access (TA0006)
با تغییر متغیرهای محیطی یا خواندن configuration، مهاجم ممکن است بتواند به secrets/credentials دسترسی یابد.

Defense Evasion (TA0005)
بعد از نفوذ، مهاجم می‌تواند پیکربندی را طوری تغییر دهد که تشخیص و لاگ‌گیری را سخت‌تر کند.

Lateral Movement (TA0008)
پس از اجرای کد یا دزدیدن credentialها، مهاجم ممکن است بتواند از آن‌ها برای دسترسی به سرویس‌های وابسته، دیتابیس‌ها یا منابع ابری استفاده کند و به‌صورت جانبی در محیط حرکت کند.

Impact (TA0040)
پیامد فنی اصلی شامل تغییر پیکربندی حساس، اجرای کد دلخواه احتمالی، افشای اسرار و اختلال سرویس است که محرمانگی، یکپارچگی و در دسترس‌پذیری را به‌خطر می‌اندازد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-41243
2. https://www.cvedetails.com/cve/CVE-2025-41243/
3. https://spring.io/security/cve-2025-41243
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-41243
5. https://vuldb.com/?id.324494
6. https://nvd.nist.gov/vuln/detail/CVE-2025-41243
7. https://cwe.mitre.org/data/definitions/917.html
8. https://cwe.mitre.org/data/definitions/94.html