PT-2022-2524 · Apache · Apache Apisix

Bing Chen + 2 · Publicado 2022-04-20 · Atualizado 2024-03-06 · CVE-2022-29266

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache APISIX anteriores à 3.13.1

Descrição

O problema está relacionado ao plugin jwt-auth do Apache APISIX, que apresenta uma falha de segurança devido a mecanismos insuficientes de notificação de erros. Isso pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. A mensagem de erro retornada pela dependência lua-resty-jwt contém informações confidenciais, especificamente a chave secreta do usuário, quando um JSON Web Token incorreto é enviado para uma rota protegida. Um invasor pode explorar isso enviando um token RS256 para um endpoint que exige um token HS256, resultando na inclusão do valor secreto original na resposta de erro.

Recomendações

Para versões do Apache APISIX anteriores à 3.13.1, atualize para a versão 3.13.1 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao plugin jwt-auth ou desativar a resposta de mensagem de erro da dependência lua-resty-jwt para minimizar o risco de exploração.

Correção

Generation of Error Message Containing Sensitive Information

Enumeração de Fraquezas

CWE-209

Identificadores relacionados

BDU:2022-02939

BIT-APISIX-2022-29266

CVE-2022-29266

Produtos afetados

Apache Apisix

Referências · 7

• https://lists.apache.org/thread/6qpfyxogbvn18g9xr8g218jjfjbfsbhr · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/04/20/1 · Nota
• https://t.me/cvenotify/29189 · Publicação no Telegram
• https://bdu.fstec.ru/vul/2022-02939 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-29266 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2022-29266 · Nota de Segurança
• https://osv.dev/vulnerability/BIT-apisix-2022-29266 · Aviso do Fabricante