CVE-2026-110724
NieznaneStreszczenie
W wersjach `api-gateway` do `1.7.3` domyślny resolver klucza limitu szybkości, `ClientIpKeyResolver`, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka żądania `X-Forwarded-For`. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem żadnej listy zaufanych proxy. Pojedynczy atakujący może więc uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na każdą unikalną wartość nagłówka — i całkowicie obejść ograniczanie szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.
Ocena ryzyka
Atakujący może obejść mechanizm ograniczania szybkości żądań w bramie API, co umożliwia przeprowadzanie ataków brute-force, zalewanie usług (DoS) lub nadużywanie chronionych zasobów bez ograniczeń. Może to prowadzić do przeciążenia systemów backendowych i naruszenia dostępności usług.
Rekomendacja
Zaktualizuj `api-gateway` do wersji nowszej niż `1.7.3` lub zmień konfigurację resolvera klucza limitu szybkości tak, aby korzystał z zaufanego źródła adresu IP (np. zweryfikowanego łańcucha proxy) zamiast surowego nagłówka `X-Forwarded-For`. Upewnij się, że brama akceptuje nagłówki przekazywane wyłącznie od zaufanych proxy.
Inne podatności w api-gateway
Zobacz wszystkie- CVE-2026-110723Wysokie
W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości, ClientIpKeyResolver, wyznacza klucz kubełka dla klienta na podstawie skrajnie lewego elementu nagłówka X-Forwarded-For. Element ten jest dostarczany przez klienta HTTP i nie jest weryfikowany względem listy zaufanych proxy. Pojedynczy atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu szybkości — po jednym na unikalną wartość nagłówka — i całkowicie obejść limit szybkości żądań na każdej trasie używającej domyślnej konfiguracji.
- CVE-2026-110726Średnie
W api-gateway w wersjach do 1.7.3 domyślny resolver klucza limitu szybkości ClientIpKeyResolver wyznacza klucz kubełka na podstawie pierwszego elementu nagłówka X-Forwarded-For, który jest dostarczany przez klienta i nie jest weryfikowany względem listy zaufanych proxy. Atakujący może uzyskać nieograniczoną liczbę niezależnych kubełków limitu i całkowicie obejść ograniczenia szybkości żądań na każdej trasie korzystającej z domyślnej konfiguracji.
- CVE-2024-38487Wysokie
Kontener api-gateway działający z uprawnieniami roota umożliwia atakującemu ucieczkę z kontenera i dostęp do systemu hosta w celu wykonania niezamierzonych działań.
- CVE-2026-11815Średnie
Atakujący, który przechwyci i zmodyfikuje ruch między aplikacją kliencką a serwerem API Gateway, może potencjalnie deserializować dowolne obiekty. Ta podatność może prowadzić do naruszenia oczekiwań bezpieczeństwa lub zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
In `api-gateway` versions till `1.7.3`, The default rate-limit key resolver, `ClientIpKeyResolver`, derives the per-client bucket key from the leftmost element of the `X-Forwarded-For` request header. That element is supplied by the originating HTTP client and is not validated against any trusted-proxy list. A single attacker can therefore obtain an unlimited number of independent rate-limit buckets — one per unique header value — and completely bypass the gateway's request-rate limiting on every route that uses the shipped default configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS