Aktywnie wykorzystywana w atakach
Apache APISIX Authentication Bypass Vulnerability
Apache - APISIX · Figuruje w katalogu CISA KEV od 2022-08-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-24112
KrytyczneCVSS 9.8KEVStreszczenie
W Apache APISIX atakujący może wykorzystać wtyczkę batch-requests do obejścia ograniczeń IP interfejsu Admin API. Domyślna konfiguracja (z domyślnym kluczem API) jest podatna na zdalne wykonanie kodu; nawet po zmianie klucza lub portu istnieje ryzyko obejścia ograniczeń IP panelu danych z powodu błędu w kodzie sprawdzającym adres klienta.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do API administracyjnego i wykonać dowolny kod, przejmując kontrolę nad bramą API. Nawet po zmianie domyślnych ustawień pozostaje ryzyko obejścia ograniczeń IP.
Rekomendacja
Zaktualizuj Apache APISIX do wersji zawierającej poprawkę. Zmień domyślny klucz API, ogranicz dostęp do Admin API do zaufanych sieci i rozważ wyłączenie wtyczki batch-requests, jeśli nie jest używana.
Inne podatności w Apache APISIX
Zobacz wszystkie- CVE-2026-94276Średnie
Apache APISIX w wersjach od 3.12.0 do 3.18.0 zawiera podatność na nieprawidłowe uwierzytelnianie w pluginie openid-connect. Token, który jest aktywny dla jednego wystawcy, może zostać zaakceptowany na trasie ograniczonej do innego wystawcy, gdy używany jest zdalny introspection.
- CVE-2026-94269Średnie
Apache APISIX w wersjach od 2.14.1 do 3.18.0 zawiera podatność na użycie niekanonicznych ścieżek URL w decyzjach autoryzacyjnych. W niektórych konfiguracjach, gdzie permisywna trasa nakłada się na chronioną, zakodowana ścieżka może dotrzeć do upstreamu, którego polityki nie obejmują, umożliwiając nieuwierzytelniony dostęp.
- CVE-2026-94250Wysokie
Wtyczka batch-requests w Apache APISIX pozwala na alokację zasobów bez ograniczeń lub throttlingu. Nieuwierzytelniony atakujący może doprowadzić proces roboczy bramy do wyczerpania pamięci (OOM) poprzez trasę korzystającą z tej wtyczki, jeśli endpoint batch jest publicznie dostępny. Problem dotyczy wersji od 1.3.0 do 3.18.0.
- CVE-2026-94220Niskie
Podatność CSRF w wtyczkach feishu-auth i dingtalk-auth w Apache APISIX. Atakujący, który nakłoni użytkownika do kliknięcia spreparowanego linku, może spowodować ustanowienie sesji przeglądarki użytkownika na chronionej trasie pod tożsamością atakującego zamiast własnej. Wszelkie działania użytkownika w tej sesji, w tym przesyłanie plików, przesyłanie formularzy i powiązania kont, trafiają na konto atakującego. Problem dotyczy Apache APISIX od 3.17.0 do 3.18.0.
- CVE-2026-94212Średnie
Apache APISIX w wersjach od 3.17.0 do 3.18.0 zawiera podatność na nieprawidłową weryfikację podpisu kryptograficznego w pluginie saml-auth. Nieuwierzytelniony atakujący może podszyć się pod dowolnego użytkownika na trasach chronionych tym pluginem w domyślnej konfiguracji.
- CVE-2026-82806Średnie
Podatność w Apache APISIX polegająca na ekspozycji danych do niewłaściwej sesji. W pewnych konfiguracjach authz-keycloak, zakres autoryzacji żądania może utrzymywać się w kolejnych żądaniach na tej samej trasie, prowadząc do nieautoryzowanego rozszerzenia uprawnień i niespójnych decyzji kontroli dostępu. Problem dotyczy wersji od 2.3.0 do przed 3.7.0.
- CVE-2026-78242Średnie
Podatność w Apache APISIX 3.17.0 powoduje zapisywanie niezmaskowanych wartości nagłówków do dziennika (log sink) w określonej strukturze odpowiedzi. Problem został naprawiony w wersji 3.18.0.
- CVE-2026-49230Krytyczne
Podatność związana z niewłaściwą walidacją wartości sprawdzania integralności w Apache APISIX umożliwia obejście uwierzytelniania wtyczki jwe-decrypt w domyślnej konfiguracji. Problem dotyczy wersji od 3.8.0 do 3.16.0.
- CVE-2026-39999Krytyczne
Podatność na obejście uwierzytelnienia poprzez spoofing w Apache APISIX pozwala atakującemu na całkowite ominięcie procesu uwierzytelniania, wykorzystując określone konfiguracje wtyczki jwt-auth. Problem dotyczy wersji Apache APISIX od v2.2 do v3.16.0.
- CVE-2026-75020Wysokie
Apache APISIX w wersjach od 2.11.0 do 3.17.0 zawiera podatność na wstrzykiwanie LDAP (LDAP Injection). Osoba posiadająca ważne poświadczenia dla jednego wpisu w katalogu LDAP może uwierzytelnić się jako inny konsument, którego zakres konfiguracji miał wykluczać.
Oryginalny opis (angielski, źródło NVD)
An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS