CVE-2022-24112

Apache APISIX versão 2.12.1

O problema diz respeito a uma vulnerabilidade de contorno de autenticação no Apache APISIX, na qual um invasor pode explorar o plugin de solicitações em lote para enviar solicitações e contornar a restrição de IP da API de administração. Isso pode levar à execução remota de código, particularmente em configurações padrão com a chave de API padrão. Alterar a chave de administração ou usar uma porta diferente para a API de administração em relação ao painel de dados reduz o impacto, mas ainda representa um risco de contorno da restrição de IP do painel de dados. Um bug no código permite que a verificação que substitui o IP do cliente pelo seu IP remoto real seja contornada.

Para o Apache APISIX versão 2.12.1, considere desativar o plug-in batch-requests até que um patch esteja disponível para impedir a exploração dessa vulnerabilidade. Além disso, alterar a chave de API padrão e usar uma porta diferente para a API de administração em vez do painel de dados pode ajudar a minimizar o risco. No entanto, a solução mais eficaz seria atualizar para uma versão que inclua uma correção para esse problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.