← volver
CVE-2022-24112

apisix/batch-requests plugin allows overwriting the X-REAL-IP header

CVSS 9.8 CRITICALEPSS 96.2%● KEVCWE-290
En resumen

Un defecto en el plugin batch-requests de Apache APISIX permite que atacantes eludan las restricciones de IP y ejecuten código en el servidor. Al manipular solicitudes, un atacante puede suplantar una dirección IP confiable y obtener acceso no autorizado a la API de Administración.

Detalle técnico

El plugin batch-requests intenta validar direcciones IP del cliente sobrescribiéndolas con la IP remota real; sin embargo, un error lógico en esta validación permite que atacantes eviten la verificación mediante solicitudes en lote. Esto habilita acceso no autorizado a la Admin API y, con credenciales predeterminadas, puede resultar en ejecución remota de código. Requiere acceso de red a la instancia APISIX.

Resumen generado y traducido por IA a partir de la descripción oficial.
An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Apache Software Foundation · Apache APISIX
PoCs públicas encontradas — 13
githubgithub.com/Mr-xn/CVE-2022-24112★ 43githubgithub.com/M4xSec/Apache-APISIX-CVE-2022-24112★ 15githubgithub.com/twseptian/cve-2022-24112★ 9githubgithub.com/SecNN/CVE-2022-24112★ 8githubgithub.com/Mah1ndra/CVE-2022-24112★ 7githubgithub.com/Acczdy/CVE-2022-24112_POC★ 5githubgithub.com/kavishkagihan/CVE-2022-24112-POC★ 2githubgithub.com/btar1gan/exploit_CVE-2022-24112★ 1githubgithub.com/CrackerCat/CVE-2022-24112★ 0githubgithub.com/fatkz/CVE-2022-24112★ 0exploitdbwww.exploit-db.com/exploits/50829no verificadocve_referencepacketstormsecurity.com/files/166328/Apache-APISIX-2.12.1-Remote-Code-Execution.htmlno verificadocve_referencepacketstormsecurity.com/files/166228/Apache-APISIX-Remote-Code-Execution.htmlno verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.

¿Quieres saber si tu infraestructura está expuesta a esto?

Hablar con TrueHacking →
Referencias
http://packetstormsecurity.com/files/166228/Apache-APISIX-Remote-Code-Execution.htmlhttp://packetstormsecurity.com/files/166328/Apache-APISIX-2.12.1-Remote-Code-Execution.htmlhttps://lists.apache.org/thread/lcdqywz8zy94mdysk7p3gfdgn51jmt94https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24112http://www.openwall.com/lists/oss-security/2022/02/11/3