CVE-2022-24112criticalbajo ataqueCWE-290

CVE-2022-24112: fallo crítico en Apache APISIX

apisix/batch-requests plugin allows overwriting the X-REAL-IP header

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Apache APISIX

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 96%
de la publicación al arma11 días
Publicada en NVD11 feb
1ª PoC+11d
metasploit7 dic
CISA KEV+195d
Acción exigida por CISAplazo federal: 2022-09-15

Apply updates per vendor instructions.

En resumen

Un defecto en el plugin batch-requests de Apache APISIX permite que atacantes eludan las restricciones de IP y ejecuten código en el servidor. Al manipular solicitudes, un atacante puede suplantar una dirección IP confiable y obtener acceso no autorizado a la API de Administración.

Detalle técnico

El plugin batch-requests intenta validar direcciones IP del cliente sobrescribiéndolas con la IP remota real; sin embargo, un error lógico en esta validación permite que atacantes eviten la verificación mediante solicitudes en lote. Esto habilita acceso no autorizado a la Admin API y, con credenciales predeterminadas, puede resultar en ejecución remota de código. Requiere acceso de red a la instancia APISIX.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache APISIX
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Apache APISIX

En el mismo producto, de las más peligrosas a las menos.

CVE-2020-13945—CVE-2020-13945EPSS 73.6%CVE-2021-43557—Path traversal in request_uri variableEPSS 13.0%CVE-2022-29266—apisix/jwt-auth may leak secrets in error responseEPSS 8.1%CVE-2022-25757—Apache APISIX: the body_schema check in request-validation plugin can be bypassedEPSS 2.5%CVE-2024-32638MEDIUMApache APISIX: Forward-Auth Request SmugglingEPSS 1.1%CVE-2026-75005HIGHApache APISIX: Unauthenticated CPU-exhaustion DoSEPSS 0.7%