- ひとことでApache APISIX で、管理用の接続制限をすり抜けられる弱点です。
- 深刻度9.8 緊急CVSS v3.1
- まずやることAPISIX を 2.10.4 または 2.12.1 以降に更新する
基本情報（データから表示）
| CVE番号 | CVE-2022-24112 |
|---|---|
| 製品 | Apache APISIX |
| 深刻度（CVSS） | 9.8 緊急CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-08-25 |
| 米国政府機関の対応期限 | 2022-09-15 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-290（なりすましによる認証の回避） |
何が起きた
API の通信をまとめて管理する Apache APISIX で、batch-requests というプラグインを悪用すると、管理用の Admin API にかけられた IP アドレスの制限をすり抜けられる弱点が見つかりました。プラグインには送信元の IP アドレスを本物に書き換える確認がありますが、プログラムの誤りでこの確認をすり抜けられます。初期設定のまま（初期の API キーのまま）だと、遠くからプログラムを動かされるおそれがあります。NVD の評価では、ネットワーク経由で、ログインなしで悪用できます。実際の攻撃での悪用が確認されています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
Apache APISIX を使っている組織が対象です。CVE の記録では、2.12.1 より前の 2.12 系、2.10.4 より前の 2.10 系、1.3 以降の 1 系の版が影響を受けると記載されています。NVD の説明では、管理用のキーや Admin API のポートを変えている場合は影響が小さくなりますが、データパネル（通常の通信を受ける側）の IP アドレスの制限をすり抜けられるおそれは残ります。
何をすればいい
Apache の案内に従い、2.10.4 または 2.12.1 以降に更新されているか確認してください。すぐに更新できない場合は、設定ファイル conf/config.yaml で使うプラグインをはっきり指定し、batch-requests を無効にする方法が案内されています。あわせて公式の案内を確認してください。
やることチェックリスト
- APISIX を 2.10.4 または 2.12.1 以降に更新する
- 更新できなければ batch-requests を無効にする
- 初期の API キーを使い続けていないか調べる
用語メモ
次に読む
公式情報と元データ
公式情報
元データ（英語・CISA KEV より）を開く
Apache APISIX Authentication Bypass Vulnerability
概要
Apache APISIX contains an authentication bypass vulnerability that allows for remote code execution.
推奨対応
Apply updates per vendor instructions.
この元データの出どころ: CISA KEV カタログで見る