Apache APISIX Dashboard远程命令执行漏洞(CVE-2021-45232)
漏洞描述
Apache APISIX 是一个动态、实时、高性能的 API 网关, 提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。Apache APISIX Dashboard 使用户可通过前端界面操作 Apache APISIX。
该漏洞的存在是由于 Manager API 中的错误。Manager API 在 gin 框架的基础上引入了 droplet 框架,所有的 API 和鉴权中间件都是基于 droplet 框架开发的。但是有些 API 直接使用了框架 gin 的接口,从而绕过身份验证。可导致文件上传
FOFA 查询
title=“Apache APISIX Dashboard”
影响范围
Apache APISIX Dashboard < 2.10.1
POC:
IP:PORT/apisix/admin/migrate/export
批量漏洞检测
编写与检测,脚本放在文末
脚本下载:https://github.com/GYLQ/CVE-2021-45232-RCE