Trusted Design

CVE-2022-24112 の詳細

CVEの情報

説明:
An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.

CVE更新日: 2022-02-11 13:15:08.073000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2022-08-25

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.960690000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2022-24112に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2022-24112は、Apache APISIXのbatch-requestsプラグインに存在する深刻な認証バイパスの脆弱性です。この脆弱性を悪用することで、攻撃者はAdmin APIのIP制限を回避するリクエストを送信することが可能になります。デフォルトのAPIキーを使用しているApache APISIXのデフォルト設定の場合、リモートからのコード実行（RCE）につながる可能性があります。

1.1 影響

この脆弱性が悪用されると、リモートの認証されていない攻撃者がAdmin APIを介して任意のコードを実行し、サーバを完全に侵害する可能性があります。これにより、機密情報の窃取、データの改ざん、ランサムウェアのインストール、サービス運用妨害（DoS）状態への陥入、および内部ネットワークへのピボット（足がかりの確立）などの深刻な影響が生じるおそれがあります。

1.2 深刻度

CVSS v3.1の基本スコアは9.8（緊急）と評価されており、非常に深刻度が高いとされています。 また、本脆弱性はCISAの「Known Exploited Vulnerabilities Catalog」に記載されており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるAPISIXバージョン

以下のApache APISIXのバージョンが影響を受けます。

  • Apache APISIX 1.3から2.12.1までのすべてのバージョン（2.12.1を含まない）
  • Apache APISIX 2.10.0から2.10.4 LTSまでのすべてのバージョン（2.10.4を含まない）

2.2 影響を受ける設定

  • 脆弱なバージョンのApache APISIXでbatch-requestsプラグインが有効になっている場合。このプラグインはデフォルトで有効になっていることがあります。
  • 特に、デフォルトのAPIキーが使用されているApache APISIXのデフォルト設定は、リモートコード実行のリスクが非常に高くなります。
  • 管理キーが変更されていたり、Admin APIのポートがデータパネルとは異なるポートに変更されていたりする場合でも、Apache APISIXのデータパネルのIP制限をバイパスされるリスクは依然として存在します。

3. 影響を受けた時の兆候

この脆弱性が悪用された場合、通常はリモートコード実行が行われるため、システムへの不正なアクセス、設定の改ざん、予期しないプロセスの実行、機密情報の流出、またはサービスの中断といった兆候が見られる可能性があります。具体的な兆候は攻撃の内容によって異なりますが、不正な管理操作のログ、不審なネットワーク通信、またはサーバの異常な動作などが挙げられます。

4. 推奨対策

4.1 本対策

  • バージョンアップ: Apache APISIXを、脆弱性が修正された以下のバージョンに速やかにアップデートしてください。
    • Apache APISIX 2.12.1 以降
    • Apache APISIX 2.10.4 LTS 以降

4.2 暫定回避策（緩和策）

  • batch-requestsプラグインの無効化: conf/config.yamlおよびconf/config-default.yamlファイル内でbatch-requestsプラグインをコメントアウトし、Apache APISIXを再起動することで、プラグインを無効化できます。
  • Admin APIキーの変更とアクセス制限: デフォルトのAPIキーは使用せず、ランダムなAPIトークンを生成し、Admin APIをパブリックネットワークに公開しないようにアクセスを制限することが強く推奨されます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る