Bỏ qua xác thực trong plugin jwe-decrypt của Apache APISIX thuộc Apache Software Foundation

Lỗ hổng Xác thực Không đúng Giá trị Kiểm tra Tính Toàn vẹn trong Apache APISIX. Plugin jwe-decrypt dưới cấu hình mặc định dễ bị bỏ qua xác thực. Vấn đề này ảnh hưởng đến Apache APISIX: từ 3.8.0 đến 3.16.0. Người dùng được khuyến nghị nâng cấp lên phiên bản 3.17.0, phiên bản khắc phục vấn đề.

• Apache APISIX bị ảnh hưởng từ 3.8.0 đến 3.16.0, theo quy ước semver. Dữ liệu affected đặt default_status là unaffected đối với các phiên bản nằm ngoài phạm vi bị ảnh hưởng được liệt kê.
• Thông báo của Apache khuyến nghị nâng cấp lên 3.17.0 và xác định phiên bản này là phiên bản khắc phục lỗi.
• Bằng chứng hiện có không xác minh độc lập trạng thái của mọi nhánh phát hành khác ngoài phạm vi affected và phiên bản sửa lỗi được nêu trên.

Đây là lỗ hổng CWE-354, trong đó giá trị kiểm tra tính toàn vẹn không được xác thực đúng cách trước khi quyết định xác thực. Thành phần bị ảnh hưởng là plugin jwe-decrypt khi sử dụng cấu hình mặc định. Dữ liệu đầu vào qua mạng có thể tác động đến quyết định xác thực và dẫn đến bỏ qua xác thực; bằng chứng hiện có không mô tả định dạng đầu vào cụ thể hoặc code path chính xác. Các dữ kiện chấm điểm được cung cấp cho thấy lỗ hổng có thể bị tiếp cận qua mạng, có độ phức tạp thấp, không yêu cầu quyền trước đó và không cần tương tác của người dùng. Khả năng tiếp cận thực tế còn phụ thuộc vào cách Apache APISIX được triển khai và cách plugin được sử dụng.

• Khả năng tiếp cận: Lỗ hổng có thể bị khai thác qua mạng. Kẻ tấn công không cần quyền trước đó, không cần người dùng tương tác và được mô tả là có độ phức tạp thấp.
• Điều kiện: Apache APISIX phải sử dụng plugin jwe-decrypt trong cấu hình mặc định. Các điều kiện triển khai bổ sung chưa được công bố.
• Tình trạng khai thác: Bản ghi không xác định exploit công khai, chiến dịch cụ thể hoặc bằng chứng khai thác đã được quan sát. Điều này không chứng minh rằng lỗ hổng chưa từng bị khai thác, mà chỉ cho thấy bằng chứng hiện có chưa xác lập việc đó.

Lỗ hổng có thể cho phép kẻ tấn công từ xa vượt qua một ranh giới xác thực mà không cần cung cấp thông tin xác thực hợp lệ. Hệ quả có thể là truy cập vào các route API được bảo vệ hoặc thực hiện thao tác downstream trái phép, nhưng mức quyền và phạm vi thực tế phụ thuộc vào chính sách của từng route và upstream. Bản ghi không xác lập một vụ rò rỉ dữ liệu, ảnh hưởng sẵn sàng, tenant cụ thể hoặc phạm vi đặc quyền cụ thể. Vì không cần tương tác của người dùng, các instance có thể tiếp nhận lưu lượng mạng từ nguồn không đáng tin cậy cần được ưu tiên kiểm tra.

Khai thác thành công có thể cho phép một đối tượng từ xa không có quyền vượt qua quyết định xác thực do jwe-decrypt thực hiện. Tùy thuộc vào route và chính sách của upstream, điều này có thể làm lộ các thao tác API được bảo vệ hoặc cho phép thực hiện hành động trái phép. Bản ghi không xác lập quyền truy cập vào dữ liệu cụ thể, phạm vi tenant cụ thể hay ảnh hưởng đến tính sẵn sàng, nên tác động kinh doanh cần được đánh giá theo từng triển khai.

1. Nâng cấp Apache APISIX lên chính xác phiên bản 3.17.0, là phiên bản được Apache xác định đã khắc phục vấn đề.
2. Trước và sau khi nâng cấp, kiểm kê các instance sử dụng plugin jwe-decrypt, xác nhận phiên bản thực tế đã được triển khai và kiểm tra các luồng xác thực phụ thuộc vào plugin.
3. Nếu chưa thể nâng cấp ngay, không coi việc thay đổi cấu hình chung là một biện pháp khắc phục đã được xác nhận. Bản ghi không cung cấp workaround sản phẩm cụ thể; mọi biện pháp kiểm soát tạm thời cần được kiểm thử như lớp bảo vệ bổ sung.
4. Sau khi xử lý, rà soát log truy cập và các quyết định xác thực để phát hiện hành vi bất thường. Việc không thấy dấu hiệu trong log không chứng minh rằng trước đó chưa có truy cập trái phép.

1. Kiểm kê tất cả phiên bản Apache APISIX đang chạy và xác định các instance có sử dụng plugin jwe-decrypt.
2. Kiểm tra cấu hình của plugin và lập danh sách các route hoặc dịch vụ dùng plugin này để thực hiện quyết định xác thực.
3. Rà soát log truy cập và log xác thực để tìm các yêu cầu thành công bất thường tới route lẽ ra phải yêu cầu xác thực. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được nhà cung cấp xác nhận.
4. Đối chiếu các instance với ranh giới phiên bản bị ảnh hưởng và phiên bản sửa lỗi trong các trường affected_summary và remediation.
5. Không coi việc không tìm thấy sự kiện đáng ngờ trong log là bằng chứng hệ thống an toàn, vì bản ghi không cung cấp log signature hoặc indicator cụ thể.