CRITICAL🚩 CISA KEV⚡ EXPLOIT🇬🇧 English

CVE-2022-24112

Apache APISIX – RCE przez obejście ograniczeń IP w batch-requests

CVSS 9.8v3.1pub. 2022-02-11upd. 2025-10-23

Podatność w pluginie batch-requests Apache APISIX pozwala atakującemu obejść ograniczenia IP nałożone na Admin API i wykonać zdalny kod na serwerze. Domyślna konfiguracja z domyślnym kluczem API jest bezpośrednio podatna na pełny remote code execution.

▸ Pokaż oryginał (EN)

An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.

🤖 Analiza AI

Jak działa

Plugin batch-requests posiada mechanizm weryfikacji, który powinien nadpisywać adres IP klienta jego rzeczywistym zdalnym adresem IP, uniemożliwiając w ten sposób podszywanie się pod zaufane adresy. Błąd w kodzie umożliwia jednak ominięcie tej weryfikacji, co pozwala atakującemu wysyłać żądania do Admin API tak, jakby pochodziły z dozwolonego adresu IP. W przypadku domyślnej konfiguracji Apache APISIX (z domyślnym kluczem API) prowadzi to bezpośrednio do wykonania dowolnego kodu. Nawet po zmianie klucza administratora lub przeniesienia Admin API na inny port nadal istnieje ryzyko obejścia ograniczeń IP dla panelu danych.

Skutki

Atakujący bez uwierzytelnienia może uzyskać pełną kontrolę nad serwerem poprzez zdalne wykonanie kodu (RCE), a także obejść ograniczenia IP panelu danych Apache APISIX, co zagraża poufności, integralności i dostępności systemu.

Mitygacja

Należy niezwłocznie zmienić domyślny klucz API Admin API oraz przenieść Admin API na port odizolowany od panelu danych. Zalecana jest aktualizacja do wersji Apache APISIX 2.12.1 lub nowszej zgodnie z referencjami producenta oraz patche dostępne u producenta.

Kogo dotyczy

Apache APISIX w konfiguracji domyślnej (z domyślnym kluczem API); wersje wskazane w referencjach producenta

Uwagi

Publicznie dostępne exploity zostały opublikowane w serwisie Packet Storm Security. Podatność została ujawniona 11 lutego 2022 roku na liście oss-security.