Aktywnie wykorzystywana w atakach
Apache APISIX Authentication Bypass Vulnerability
Apache - APISIX · Figuruje w katalogu CISA KEV od 2022-08-25. Oznacza to potwierdzone ataki w środowisku produkcyjnym.
Wymagane działanie: Apply updates per vendor instructions.
CVE-2022-24112
KrytyczneCVSS 9.8KEVStreszczenie
W Apache APISIX atakujący może wykorzystać wtyczkę batch-requests do obejścia ograniczeń IP interfejsu Admin API. Domyślna konfiguracja (z domyślnym kluczem API) jest podatna na zdalne wykonanie kodu; nawet po zmianie klucza lub portu istnieje ryzyko obejścia ograniczeń IP panelu danych z powodu błędu w kodzie sprawdzającym adres klienta.
Ocena ryzyka
Atakujący może uzyskać nieautoryzowany dostęp do API administracyjnego i wykonać dowolny kod, przejmując kontrolę nad bramą API. Nawet po zmianie domyślnych ustawień pozostaje ryzyko obejścia ograniczeń IP.
Rekomendacja
Zaktualizuj Apache APISIX do wersji zawierającej poprawkę. Zmień domyślny klucz API, ogranicz dostęp do Admin API do zaufanych sieci i rozważ wyłączenie wtyczki batch-requests, jeśli nie jest używana.
Inne podatności w Apache APISIX
Zobacz wszystkie- CVE-2026-49230Krytyczne
Podatność związana z niewłaściwą walidacją wartości sprawdzania integralności w Apache APISIX umożliwia obejście uwierzytelniania wtyczki jwe-decrypt w domyślnej konfiguracji. Problem dotyczy wersji od 3.8.0 do 3.16.0.
- CVE-2026-39999Krytyczne
Podatność na obejście uwierzytelnienia poprzez spoofing w Apache APISIX pozwala atakującemu na całkowite ominięcie procesu uwierzytelniania, wykorzystując określone konfiguracje wtyczki jwt-auth. Problem dotyczy wersji Apache APISIX od v2.2 do v3.16.0.
- CVE-2026-75020Wysokie
Apache APISIX w wersjach od 2.11.0 do 3.17.0 zawiera podatność na wstrzykiwanie LDAP (LDAP Injection). Osoba posiadająca ważne poświadczenia dla jednego wpisu w katalogu LDAP może uwierzytelnić się jako inny konsument, którego zakres konfiguracji miał wykluczać.
- CVE-2026-75005Wysokie
Apache APISIX w wersji 3.17.0 zawiera podatność na nieefektywną złożoność algorytmiczną w trasach graphql-limit-count. Pojedyncze małe żądanie może zablokować worker bramy na 100% CPU przez dłuższy czas.
- CVE-2026-74848Wysokie
Apache APISIX w wersjach od 2.12.0 do 3.17.0 zawiera podatność na przemycanie żądań HTTP (HTTP Request/Response Smuggling). Atakujący może sprawić, że inni klienci otrzymają odpowiedzi wybrane przez atakującego lub odpowiedzi innych użytkowników na trasach z pluginem serverless.
- CVE-2026-63041Wysokie
Apache APISIX zawiera podatność polegającą na poleganiu na niezaufanych danych wejściowych w decyzji bezpieczeństwa. Atakujący może eskalować uprawnienia lub ominąć autoryzację, wysyłając określone wartości, które nie są poprawnie sanityzowane przez plugin attach-consumer-label.
- CVE-2026-49872Wysokie
W podatności CVE-2026-49872 w Apache APISIX występuje nieprawidłowa autoryzacja, która pozwala atakującemu na uwierzytelnienie się przy użyciu danych z innego źródła, gdy używany jest plugin cas-auth w trasie. Problem dotyczy wersji od 3.0.0 do 3.16.0.
- CVE-2026-47339Wysokie
W podatności CVE-2026-47339 w Apache APISIX występuje błąd autoryzacji, który pozwala atakującemu na uwierzytelnienie się przy użyciu danych z innego źródła. Problem dotyczy wersji od 2.14.1 do 3.16.0.
- CVE-2026-44915Średnie
Podatność typu 'Open Redirect' w Apache APISIX umożliwia przekierowanie użytkowników na niezaufane strony, co może prowadzić do phishingu i kradzieży danych uwierzytelniających. Dotyczy to wersji od 3.0.0 do 3.16.0.
- CVE-2026-39998Wysokie
Podatność związana z niewłaściwą walidacją danych wejściowych w Apache APISIX umożliwia atakującemu fałszowanie nagłówków tożsamości poprzez wykorzystanie określonej konfiguracji w wtyczce forward-auth. Problem dotyczy wersji od 2.12.0 do 3.16.0.
Oryginalny opis (angielski, źródło NVD)
An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.