• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 其他
  • -
    • Apache APISIX Dashboard 遠(yuǎn)程代碼執(zhí)行漏洞
    • CNNVD編號(hào)：未知
    • 危害等級(jí)： 高危 
    • CVE編號(hào)：CVE-2021-45232
    • 漏洞類型： 不需要用戶認(rèn)證
    • 威脅類型：遠(yuǎn)程
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2021-12-30
    • 更新時(shí)間：2021-12-30

    漏洞簡(jiǎn)介

    1、組件介紹

    APISIX 是一個(gè)高性能、可擴(kuò)展的微服務(wù) API 網(wǎng)關(guān)，基于 nginx（openresty）和 Lua 實(shí)現(xiàn)功能，借鑒了 Kong 的思路，將 Kong 底層的關(guān)系型數(shù)據(jù)庫（Postgres）替換成了NoSQL 型的 etcd。Apache APISIX Dashboard 設(shè)計(jì)的目的是讓用戶通過前端界面盡可能輕松地操作 Apache APISIX。

    2、漏洞描述

    2021年12月28日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則 Apache APISIX Dashboard 組件存在遠(yuǎn)程代碼執(zhí)行漏洞的信息，漏洞編號(hào)：CVE-2021-45232，漏洞威脅等級(jí)：高危。

    該漏洞是由于 Apache APISIX Dashboard 有些接口直接使用了 gin 框架導(dǎo)致未授權(quán)訪問進(jìn)而可導(dǎo)致遠(yuǎn)程代碼執(zhí)行，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼執(zhí)行攻擊，最終獲取服務(wù)器最高權(quán)限。

    漏洞公示

    暫無

    參考網(wǎng)站

    暫無

    受影響實(shí)體

    Apache APISIX  Dashboard 可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，主要集中在中國、美國，國內(nèi)使用量較多且危害較大需要進(jìn)一步進(jìn)行關(guān)注。

    目前受影響的 Apache APISIX  Dashboard 版本：

    2.7≤ Apache APISIX  Dashboard <2.10.1

    補(bǔ)丁

    1、官方修復(fù)建議

    當(dāng)前官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：

    https://github.com/apache/apisix-dashboard

    2、深信服解決方案

    【深信服下一代防火墻AF】預(yù)計(jì)2021年12月31日，可防御此漏洞， 建議用戶將深信服下一代防火墻開啟 IPS/WAF 防護(hù)策略，并更新最新安全防護(hù)規(guī)則，即可輕松抵御此高危風(fēng)險(xiǎn)。

    【深信服安全感知管理平臺(tái)SIP】預(yù)計(jì)2021年12月31日，結(jié)合云端實(shí)時(shí)熱點(diǎn)高危/緊急漏洞信息，可快速檢出業(yè)務(wù)場(chǎng)景下的該漏洞，并可聯(lián)動(dòng)【深信服下一代防火墻AF】等產(chǎn)品實(shí)現(xiàn)對(duì)攻擊者IP的封堵。