Apache Software Foundation Apache APISIX: bỏ qua ủy quyền cấp route do lệch chuẩn hóa đường dẫn

Apache APISIX có lỗ hổng Xung đột trong diễn giải, dẫn đến (Ủy quyền không chính xác). Client chưa xác thực có thể truy cập các path upstream được bảo vệ bởi auth plugin ở cấp route khi cùng upstream tồn tại một route không có auth và upstream không loại bỏ các dot segment đã được mã hóa. Vấn đề này ảnh hưởng đến Apache APISIX: từ 0.9 đến 3.19.0. Người dùng được khuyến nghị nâng cấp lên phiên bản 3.20.0, phiên bản đã khắc phục vấn đề.

• Apache APISIX từ 0.9 đến 3.19.0 bị ảnh hưởng theo CNA record.
• Mẫu triển khai có rủi ro yêu cầu cùng một upstream có route được bảo vệ bằng route-level auth và route không có auth, đồng thời upstream không collapse encoded dot segment.
• Apache APISIX 3.20.0 được xác định là phiên bản khắc phục vấn đề. Evidence được cung cấp chưa xác nhận trạng thái của các nhánh phát hành khác hoặc các nhánh song song.

Lỗ hổng nằm ở ranh giới giữa quá trình xử lý route của APISIX và cách upstream diễn giải path được chuyển tiếp. APISIX có thể gắn route-level auth với một route, trong khi path của request được diễn giải hoặc chuyển tiếp theo cách khiến request đi tới protected upstream path thông qua một route khác trên cùng upstream không có auth. Điều kiện khai thác yêu cầu upstream không loại bỏ các encoded dot segment. Attacker là client chưa xác thực kết nối qua network, không cần quyền trước đó và không cần user interaction. Theo dữ kiện được cung cấp, weakness được phân loại là CWE-436 dẫn đến CWE-863. Record và advisory không nêu encoding cụ thể, dạng request, implementation của route matcher, tên plugin cụ thể hoặc phần mềm upstream, vì vậy không nên giả định các chi tiết này.

• Khả năng tiếp cận: qua network.
• Xác thực: attacker không cần xác thực.
• User interaction: không cần.
• Độ phức tạp: thấp, nhưng phải có cấu hình route/upstream phù hợp và điều kiện về path normalization.
• Trạng thái khai thác: dữ liệu chuẩn hóa không ghi nhận public exploit; trạng thái exploitation thực tế hiện chưa được xác lập.

Record không cung cấp request đã weaponize hoặc encoding path cụ thể.

Kết quả kỹ thuật là bypass authorization tại gateway: request chưa xác thực có thể tới upstream path vốn được bảo vệ bằng route-level auth. Hành vi của endpoint được bảo vệ quyết định việc này dẫn tới lộ dữ liệu, thao tác thay đổi trạng thái hoặc cả hai; record không xác định endpoint hay loại dữ liệu cụ thể. Lỗ hổng tự nó không chứng minh khả năng thực thi mã, làm gián đoạn dịch vụ hoặc compromise mọi upstream. Phạm vi ảnh hưởng giới hạn ở các triển khai thỏa mãn điều kiện về route và upstream normalization.

Lỗ hổng có thể phá vỡ ranh giới giữa các API public và các API yêu cầu xác thực tại gateway. Nếu protected path cung cấp dữ liệu nhạy cảm hoặc thao tác thay đổi trạng thái, attacker có thể đọc dữ liệu hoặc thực hiện thao tác mà không có credential hợp lệ, tùy thuộc vào các kiểm soát riêng của upstream. Record không xác nhận breach, nạn nhân cụ thể hoặc việc mọi upstream đều bị ảnh hưởng. Mức độ phơi nhiễm phụ thuộc vào route configuration và hành vi path normalization của upstream, không chỉ vào việc cài đặt sản phẩm.

1. Nâng cấp Apache APISIX lên phiên bản 3.20.0, phiên bản được record xác định là đã khắc phục vấn đề.
2. Trước khi nâng cấp, kiểm kê các route dùng chung upstream và đánh giá riêng những cặp route có một route yêu cầu auth còn route kia không yêu cầu auth. Nếu chưa thể nâng cấp, giảm khả năng truy cập từ client không tin cậy tới các route có điều kiện này bằng các kiểm soát sẵn có trong môi trường; đây là biện pháp phòng ngừa, không phải workaround được vendor xác nhận.
3. Sau khi thay đổi, xác minh lại route matrix, plugin auth và hành vi normalization của upstream. Không nên xem các nhánh phát hành khác là đã được khắc phục nếu chưa có evidence trực tiếp hỗ trợ.

1. Kiểm kê các phiên bản Apache APISIX đang chạy và đối chiếu với các boundary affected/fixed đã được xác nhận.
2. Liệt kê các route dùng chung một upstream, xác định route nào có route-level auth plugin và route nào không có auth.
3. Xác định upstream có collapse các encoded dot segment hay không; nếu không thể xác nhận hành vi này, coi điều kiện rủi ro vẫn chưa được loại trừ.
4. Rà soát access log của APISIX và upstream để tìm request chưa xác thực nhưng vẫn tới các endpoint dự kiến phải yêu cầu auth, đặc biệt các request có biểu diễn encoded dot segment.
5. Đối chiếu log ở gateway và upstream để phát hiện khác biệt giữa route được chọn và path thực tế được chuyển tiếp. Không có log phù hợp không chứng minh hệ thống an toàn.