严重 Apache APISIX Admin API 默认Token漏洞

CVE编号

CVE-2020-13945

利用情况

漏洞武器化

补丁情况

官方补丁

披露时间

2020-12-08
该漏洞已被黑客武器化，用于大规模蠕虫传播、勒索挖矿，建议您立即关注并修复。
漏洞描述
Apache APISIX 是一个动态、实时、高性能的 API 网关，基于 Nginx 网络库和 etcd 实现， 提供负载均衡、动态上游、灰度发布、服务熔断、身份认证、可观测性等丰富的流量管理功能。当使用者开启了Admin API，没有配置相应的IP访问策略，且没有修改配置文件Token的情况下，则攻击者利用Apache APISIX的默认Token即可访问Apache APISIX，从而控制APISIX网关。阿里云应急响应中心提醒 Apache APISIX 网关用户尽快采取安全措施阻止漏洞攻击。
解决建议
1. 修改Apache APISIX配置文件中 conf/config.yaml 的admin_key，禁止使用默认Token

2. 若非必要，关闭Apache APISIX Admin API功能，或者增加IP访问限制。

3. 升级Apache APISIX 至最新版本。
参考链接
http://packetstormsecurity.com/files/166228/Apache-APISIX-Remote-Code-Execution.html
https://lists.apache.org/thread.html/r792feb29964067a4108f53e8579a1e9bd1c8b5b...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 apache apisix * From
(including)
1.2 		Up to
(including)
1.5
阿里云评分
9.8
  • 攻击路径
    远程
  • 攻击复杂度
    容易
  • 权限要求
    无需权限
  • 影响范围
    全局影响
  • EXP成熟度
    漏洞武器化
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    服务器失陷
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-269 特权管理不恰当
NVD-CWE-Other
阿里云安全产品覆盖情况