Plugin forward-auth của Apache APISIX thuộc Apache Software Foundation cho phép chèn header

Lỗ hổng chèn header trong Apache APISIX. Kẻ tấn công có thể lợi dụng một số cấu hình nhất định trong plugin forward-auth để chèn các header độc hại. Vấn đề này ảnh hưởng đến Apache APISIX: từ 2.12.0 đến 3.15.0. Người dùng được khuyến nghị nâng cấp lên phiên bản 3.16.0, phiên bản đã khắc phục vấn đề.

• Apache Software Foundation Apache APISIX: bị ảnh hưởng từ phiên bản 2.12.0 đến và bao gồm 3.15.0 theo semver. Trạng thái mặc định được ghi nhận là không bị ảnh hưởng.
• Apache khuyến nghị nâng cấp lên phiên bản 3.16.0, được xác định là bản sửa lỗi.
• Bản ghi không xác nhận riêng trạng thái của các nhánh song song hoặc các phiên bản khác ngoài phạm vi nêu trên; không nên suy ra rằng mọi nhánh đó đều an toàn chỉ từ thông tin về bản sửa lỗi này.

Đây là lỗi CWE-75, trong đó các phần tử đặc biệt không được phân tách hoặc làm sạch đầy đủ trước khi được đưa sang một ngữ cảnh khác. Thành phần bị ảnh hưởng là plugin forward-auth của Apache APISIX. Ở mức khái quát, kẻ tấn công có thể đưa dữ liệu do mình kiểm soát vào luồng xử lý của plugin khi một cấu hình nhất định được sử dụng, khiến header độc hại được chèn vào yêu cầu hoặc phản hồi liên quan. Đánh giá hiện có mô tả đường tấn công qua mạng, độ phức tạp thấp, không yêu cầu xác thực và không cần tương tác của người dùng. Bản ghi không nêu tên cấu hình cụ thể, tên header, hàm xử lý, endpoint hay dịch vụ phía sau, vì vậy tác động chính xác phụ thuộc vào cách triển khai và cách các hệ thống khác tiêu thụ header.

Lỗi có thể bị tiếp cận qua mạng khi Apache APISIX sử dụng plugin forward-auth với cấu hình thuộc phạm vi bị ảnh hưởng. Đánh giá được cung cấp mô tả rằng cuộc tấn công không yêu cầu quyền trước, không cần tương tác của người dùng và có độ phức tạp thấp. Bản ghi không xác định exploit công khai, và dữ liệu làm giàu của CISA ghi nhận trạng thái exploitation là none tại thời điểm đánh giá đó. Trạng thái này không chứng minh rằng mọi hệ thống đều an toàn hoặc rằng không thể có hoạt động khai thác chưa được báo cáo.

Khai thác thành công có thể đưa header độc hại vào luồng xử lý của các thành phần phía sau Apache APISIX. Đánh giá hiện có cho thấy hậu quả tiềm ẩn đối với tính bí mật và tính toàn vẹn là nghiêm trọng, trong khi không xác định hậu quả đối với tính sẵn sàng. Tác động thực tế phụ thuộc vào việc dịch vụ phía sau có tin cậy header đó cho các quyết định bảo mật hoặc xử lý yêu cầu hay không. Bản ghi không thiết lập việc thực thi mã, leo thang đặc quyền hoặc một tác động cụ thể lên một hệ thống downstream nào.

Kẻ tấn công có thể làm thay đổi các header được chuyển đến hoặc xử lý bởi những thành phần phía sau Apache APISIX. Tùy thuộc vào mức độ tin cậy mà các dịch vụ đó đặt vào header, điều này có thể làm sai lệch quyết định về xác thực, ủy quyền hoặc xử lý dữ liệu, từ đó gây ảnh hưởng đến tính bí mật và tính toàn vẹn. Tác động vận hành cụ thể phụ thuộc vào kiến trúc tích hợp và cấu hình forward-auth; bản ghi không nêu một nạn nhân, chiến dịch hoặc sự cố rò rỉ cụ thể. Không nên xem việc chưa có thông tin về một sự cố cụ thể là bằng chứng rằng môi trường không bị phơi nhiễm.

1. Nâng cấp Apache APISIX lên phiên bản 3.16.0, là bản sửa lỗi được Apache xác nhận trong dữ liệu hiện có.
2. Kiểm kê toàn bộ instance và xác nhận các triển khai sử dụng forward-auth đã được nâng cấp, không chỉ node nhận lưu lượng trực tiếp.
3. Nếu chưa thể nâng cấp ngay, rà soát và, khi phù hợp với hoạt động, tạm thời loại bỏ hoặc hạn chế cấu hình forward-auth thuộc diện nghi ngờ cho đến khi hoàn tất cập nhật. Đây là biện pháp phòng ngừa nội bộ, không phải workaround được nhà cung cấp xác nhận.
4. Sau khi cập nhật, kiểm thử các luồng xác thực và xác minh rằng header được chuyển tiếp đúng theo thiết kế. Giữ nguyên cấu hình tối thiểu cần thiết và theo dõi các thay đổi bất thường trong header của các yêu cầu đi qua plugin.

1. Kiểm kê các instance Apache APISIX và đối chiếu phiên bản đang chạy với các nhánh bị ảnh hưởng được nêu trong phần phạm vi.
2. Xác định các triển khai có bật hoặc sử dụng plugin forward-auth.
3. Rà soát cấu hình của plugin để tìm cấu hình đặc thù có thể cho phép dữ liệu từ yêu cầu xác thực được đưa vào header; nguồn hiện có không nêu tên khóa cấu hình cụ thể.
4. Kiểm tra log của APISIX và các dịch vụ phía sau để tìm header bất thường, header không được phép hoặc thay đổi không giải thích được trong các luồng đi qua forward-auth. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
5. Sau khi cập nhật, xác minh instance đang chạy bản sửa lỗi của nhà cung cấp và kiểm tra lại các luồng xác thực cùng hành vi header dự kiến. Việc không thấy dấu hiệu bất thường trong log không chứng minh rằng hệ thống không bị ảnh hưởng.