CVEノート

最近の脆弱性 › CVE-2022-24112

Apache APISIX の認証回避の脆弱性（CVE-2022-24112）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2022-24112
製品Apache APISIX
深刻度（CVSS）9.8 緊急CVSS v3.1
NVD による評価
詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2022-08-25
米国政府機関の対応期限2022-09-15
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-290

何が起きた

API の通信をまとめて管理する Apache APISIX で、batch-requests というプラグインを悪用すると、管理用の Admin API にかけられた IP アドレスの制限をすり抜けられる弱点が見つかりました。プラグインには送信元の IP アドレスを本物に書き換える確認がありますが、プログラムの誤りでこの確認をすり抜けられます。初期設定のまま（初期の API キーのまま）だと、遠くからプログラムを動かされるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。実際の攻撃での悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が batch-requests に要求を送る → 2. 送信元の IP アドレスの確認をすり抜ける → 3. Admin API の IP アドレスの制限を越える → 4. 初期の API キーで設定を操作する1攻撃者が batch-requests に要求を送る2送信元の IP アドレスの確認をすり抜ける3Admin API の IP アドレスの制限を越える4初期の API キーで設定を操作する攻撃の流れ: 1. 攻撃者が batch-requests に要求を送る → 2. 送信元の IP アドレスの確認をすり抜ける → 3. Admin API の IP アドレスの制限を越える → 4. 初期の API キーで設定を操作する1攻撃者が batch-requests に要求を送る2送信元の IP アドレスの確認をすり抜ける3Admin API の IP アドレスの制限を越える4初期の API キーで設定を操作する

誰が影響を受ける

Apache APISIX を使っている組織が対象です。CVE の記録では、2.12.1 より前の 2.12 系、2.10.4 より前の 2.10 系、1.3 以降の 1 系の版が影響を受けると記載されています。NVD の説明では、管理用のキーや Admin API のポートを変えている場合は影響が小さくなりますが、データパネル（通常の通信を受ける側）の IP アドレスの制限をすり抜けられるおそれは残ります。

何をすればいい

Apache の案内に従い、2.10.4 または 2.12.1 以降に更新されているか確認してください。すぐに更新できない場合は、設定ファイル conf/config.yaml で使うプラグインをはっきり指定し、batch-requests を無効にする方法が案内されています。あわせて公式の案内を確認してください。

やることチェックリスト

用語メモ

プラグイン
ソフトウェアに後から機能を足すための追加部品です。
Admin API
APISIX の設定を変えるための、管理者用の窓口です。
API キー
API を使う人を見分けるための、合言葉のような文字列です。

元データ（英語・CISA KEV より）

Apache APISIX Authentication Bypass Vulnerability

概要

Apache APISIX contains an authentication bypass vulnerability that allows for remote code execution.

推奨対応

Apply updates per vendor instructions.

公式情報