CVE-2021-22053 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SpringEL 表达式注入。攻击者通过构造恶意 URI 路径，利用 Thymeleaf 模板解析机制执行任意代码。后果：直接导致 **远程代码执行 (RCE)**，服务器沦陷。

🛡️ **CWE-94**：代码注入。缺陷点在于 `spring-cloud-netflix-hystrix-dashboard` 与 `spring-boot-starter-thymeleaf` 共存时，路径参数被错误地当作 SpringEL 表达式解析。

📦 **受影响组件**：VMware Spring Cloud Netflix。具体为同时使用了 `spring-cloud-netflix-hystrix-dashboard` 和 `spring-boot-starter-thymeleaf` 的应用程序。版本：2.2.10 之前。

💥 **黑客能力**：完全控制。通过 `/hystrix/monitor;[恶意代码]` 路径，黑客可执行任意系统命令，获取服务器最高权限，窃取数据或植入后门。

🔓 **门槛极低**。无需认证。只要应用开启了 Hystrix Dashboard 且引入了 Thymeleaf，攻击者即可通过 HTTP 请求直接触发漏洞，零门槛利用。

🔍 **有现成 Exp**。GitHub 上已有多个 PoC 仓库（如 SecCoder-Security-Lab, Vulnmachines），Nuclei 模板也已收录，自动化扫描工具可直接检测。

🔎 **自查方法**：检查项目中是否同时依赖 `spring-cloud-netflix-hystrix-dashboard` 和 `spring-boot-starter-thymeleaf`。访问 `/hystrix/monitor` 路径看是否响应，或扫描工具检测 SpringEL 注入特征。

🛠️ **官方已修复**。VMware 发布了安全公告，建议升级至受影响组件的安全版本（2.2.10 及以上或对应修复版本）。

🚧 **临时规避**：若无法立即升级，建议 **移除** `spring-boot-starter-thymeleaf` 依赖，或 **禁用** Hystrix Dashboard 端点，切断攻击向量。

🔥 **优先级：极高 (Critical)**。RCE 漏洞且无需认证，在野利用风险大。建议立即排查并升级，或采取临时缓解措施。