Nowa podatność w Apache APISIX - jak się chronić?
Nowa podatność w Apache APISIX - jak się chronić?
Bezpieczeństwo w Apache APISIX stało się kluczowym tematem w związku z nową podatnością oznaczoną jako CVE-2021-43557. Problem ten dotyczy możliwości przejścia ścieżką dzięki zmiennej $request_uri. Wykorzystując skrypt apisix_request.sh, można napotkać błąd 403, co wskazuje na naruszenie bezpieczeństwa.
Analiza ujawnia, że plugin uri-blocker nie normalizuje zmiennej ctx.var.request_uri, co prowadzi do potencjalnych luk w zabezpieczeniach. Bezpośrednia konsekwencja tego błędu to możliwość obejścia mechanizmów ochronnych opartych na uri-blocker. Dodatkowo, integracje stworzone samodzielnie, które opierają się na tej zmiennej, również mogą być narażone.
Jak można się zabezpieczyć? Zaleca się aktualizację do wersji 2.10.2 Apache APISIX oraz normalizację zmiennej ctx.var.request_uri przed jej użyciem. Dla tych, którzy chcą zgłębić temat, dostępne są dodatkowe materiały oraz wyniki badań dotyczących innych kontrolerów ingress.
Na podstawie: Źródła
