Apache · Apache Apisix · CVE-2022-29266
**Nome do software vulnerável e versões afetadas**
Versões do Apache APISIX anteriores à 3.13.1
**Descrição**
O problema está relacionado ao plugin jwt-auth do Apache APISIX, que apresenta uma falha de segurança devido a mecanismos insuficientes de notificação de erros. Isso pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. A mensagem de erro retornada pela dependência lua-resty-jwt contém informações confidenciais, especificamente a chave secreta do usuário, quando um JSON Web Token incorreto é enviado para uma rota protegida. Um invasor pode explorar isso enviando um token RS256 para um endpoint que exige um token HS256, resultando na inclusão do valor secreto original na resposta de erro.
**Recomendações**
Para versões do Apache APISIX anteriores à 3.13.1, atualize para a versão 3.13.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao plugin jwt-auth ou desativar a resposta de mensagem de erro da dependência lua-resty-jwt para minimizar o risco de exploração.