一、漏洞原理
Apache APISIX是一个实时、动态、高性能的API网关。Apache APISIX Dashboard旨在让用户尽可能容易地通过前端界面来操作Apache APISIX。
2021年12月27日,Apache官方发布安全通告,Apache APISIX Dashboard中存在一个未授权访问漏洞(CVE-2021-45232)。
在2.10.1之前的Apache APISIX Dashboard中,Manager API使用了两个框架,在框架 "gin "的基础上引入了框架 "droplet"。所有API和认证中间件都是基于框架 "droplet "开发的,但有些API直接使用了框架"gin "的接口,从而绕过身份验证,导致未授权访问。
二、影响范围
Apache APISIX Dashboard < 2.10.1
三、漏洞复现
好啦,我们来进行漏洞复现,非常简单
利用fofa语句:title="Apache APISIX Dashboard"
找到一个网站
用bp抓包,在数据包中添加/apisix/admin/migrate/export ,放包,返回相关信息。
四、漏洞修复建议
目前此漏洞已经修复,建议受影响用户尽快升级更新至Apache APISIX Dashboard 2.10.1版本。
下载链接:
https://github.com/apache/apisix-dashboard/releases
缓解措施:
更改默认用户名和密码,限制源IP访问 Apache APISIX Dashboard。