APISIX

Die Schwachstelle betrifft Apache APISIX, ein API-Gateway, das den Datenverkehr zu nachgelagerten Diensten steuert. Ursache ist ein Fehler im batch-requests-Plugin: Dieses Plugin soll bei gebündelten Anfragen die angegebene Client-IP durch die tatsächliche Remote-IP des Aufrufers ersetzen. Wegen eines Programmierfehlers lässt sich diese Prüfung jedoch umgehen, sodass ein Angreifer eine beliebige Quell-IP vortäuschen kann. Dadurch werden die IP-basierten Zugriffsbeschränkungen der Admin-API ausgehebelt. In der Standardkonfiguration – also mit dem voreingestellten API-Schlüssel – kann ein Angreifer aus der Ferne so weit vordringen, dass er beliebigen Code auf dem System ausführt und das Gateway vollständig übernimmt. Wurde der Admin-Schlüssel geändert oder die Admin-API auf einen eigenen Port gelegt, fällt die Auswirkung geringer aus; es bleibt jedoch die Gefahr, die IP-Beschränkung der Datenebene zu umgehen. Betroffen sind Installationen, deren batch-requests-Plugin erreichbar ist.