PT-2020-12797 · Kong · Docker-Kong

P0Pr0Ck5 · Publicado 2020-04-12 · Atualizado 2025-04-28 · CVE-2020-11710

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do docker-kong até a 2.0.3

Descrição

Foi descoberta uma falha em que a porta da API de administração pode ficar acessível em interfaces diferentes de 127.0.0.1. O fornecedor argumenta que isso não constitui uma vulnerabilidade, pois o escopo do bug e os links para os patches estão incorretos, afirmando que a falha só ocorre se um usuário decidir iniciar o Kong via docker-compose sem seguir a documentação de segurança.

Recomendações

Para versões do docker-kong até a 2.0.3, siga a documentação de segurança para proteger a API de administração, especificamente implementando restrições de acesso na camada de rede, conforme documentado aqui: https://docs.konghq.com/2.0.x/secure-admin-api/#network-layer-access-restrictions. Certifique-se de que a porta da API de administração esteja acessível apenas na interface pretendida, como 127.0.0.1.

Correção

Identificadores relacionados

CVE-2020-11710

Produtos afetados

Docker-Kong

Referências · 11

• https://github.com/Kong/kong · Nota
• https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c · Correção
• https://github.com/Kong/docs.konghq.com/commit/e99cf875d875dd84fdb751079ac37882c9972949 · Nota
• https://github.com/Kong/docs.konghq.com/commit/d693827c32144943a2f45abc017c1321b33ff611 · Correção
• https://github.com/Kong/docs.konghq.com · Nota
• https://t.me/cvenotify/2665 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2020-11710 · Aviso do Fabricante
• https://twitter.com/pdnuclei/status/1916871444983583179 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2020-11710 · Nota de Segurança
• https://twitter.com/pdnuclei/status/1916871489673965907 · Publicação no Twitter
• https://t.me/cvenotify/88957 · Publicação no Telegram