CVE-2022-24112

KritikAktif istismar ediliyor (CISA KEV)

Açıklama

Bir saldırgan, Admin API'nin IP kısıtlamasını atlamak için istekler göndermek amacıyla batch-requests eklentisini kötüye kullanabilir. Varsayılan bir Apache APISIX yapılandırması (varsayılan API anahtarı ile), uzaktan kod çalıştırmaya karşı savunmasızdır. Yönetici anahtarı değiştirildiğinde veya Admin API portu veri panelinden farklı bir porta değiştirildiğinde etki daha düşüktür. Ancak yine de Apache APISIX'in veri panelinin IP kısıtlamasını atlama riski bulunmaktadır. batch-requests eklentisinde istemci IP'sini gerçek uzak IP'si ile değiştiren bir kontrol mevcuttur; fakat koddaki bir hata nedeniyle bu kontrol atlatılabilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

Ürün

Apache APISIX

Yayın11 Şub 2022

İlk görülme11 Şub 2022

KEV'e eklenme25 Ağu 2022

Zayıflık türüCWE-290CWE-290

Nasıl düzeltilir

CISA'nın istediği eylem

Üreticinin yayımladığı güncellemeleri uygulayın.

CISA son tarihi: 15 Eyl 2022

Güncelleyin

apache apisix2.10.4, 2.12.1 ya da sonraki bir sürüm

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
apache apisix	v < 2.10.4, 2.11.0 ≤ v < 2.12.1	2.10.4, 2.12.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.