嚴重 | Apache APISIX 信息泄露漏洞
0x01
漏洞狀態
漏洞細節 漏洞POC 漏洞EXP 在野利用 否 未知 未知 未知 |
0x02
漏洞描述
Apache Apisix是美國阿帕奇（Apache）基金會的一個云原生的微服務API網關服務。該軟件基于 OpenResty 和 etcd 來實現，具備動態路由和插件熱加載，適合微服務體系下的 API 管理。
2022年4月20日，Apache發布安全公告，修復了一個 Apache APISIX中的信息泄露漏洞。漏洞編號：CVE-2022-29266，漏洞威脅等級：嚴重。
Apache APISIX 信息泄露漏洞
Apache APISIX 信息泄露漏洞 漏洞編號 CVE-2022-29266 漏洞類型 信息泄露 漏洞等級 嚴重 公開狀態 未知 在野利用 未知 漏洞描述 攻擊者可以通過向受jwt-auth 插件保護的路由發送不正確的 JSON Web Token，通過錯誤消息響應獲取插件配置的敏感信息。依賴庫lua-resty-jwt中的錯誤邏輯允許將RS256令牌發送到需要HS256令牌的端點，錯誤響應中包含原始密鑰值。 |
0x03
漏洞等級
嚴重
0x04
影響版本
Apache APISIX <3.13.1
0x05
修復建議
1. 廠商已發布補丁修復漏洞，用戶請盡快更新至安全版本：2.13.1及以上
2. 將以下補丁應用到 Apache APISIX 并重建它：
這將使該錯誤消息不再包含敏感信息，并返回一個固定的錯誤消息給呼叫者。對于當前的 LTS 2.13.x 或 master：
https://github.com/apache/apisix/pull/6846 https://github.com/apache/apisix/pull/6847 https://github.com/apache/apisix/pull/6858
對于最后一個 LTS 2.10.x：
https://github.com/apache/apisix/pull/6847 https://github.com/apache/apisix/pull/6855
3. 根據上面的commit手動修改你正在使用的版本并重建它以規避脆弱性。
與此同時，請做好資產自查以及預防工作，以免遭受黑客攻擊。
0x06
時間軸
2022-04-20
Apache發布安全公告，修復了一個 Apache APISIX中的信息泄露漏洞。漏洞編號：CVE-2022-29266，漏洞威脅等級：嚴重。
2022-04-20
360漏洞云發布安全動態。
