Apache APISIX Dashboard 未授权访问(CVE-2021-45232 )

一、漏洞原理

Apache APISIX是一个实时、动态、高性能的API网关。Apache APISIX Dashboard旨在让用户尽可能容易地通过前端界面来操作Apache APISIX。

2021年12月27日，Apache官方发布安全通告，Apache APISIX Dashboard中存在一个未授权访问漏洞（CVE-2021-45232）。

在2.10.1之前的Apache APISIX Dashboard中，Manager API使用了两个框架，在框架 "gin "的基础上引入了框架 "droplet"。所有API和认证中间件都是基于框架 "droplet "开发的，但有些API直接使用了框架"gin "的接口，从而绕过身份验证，导致未授权访问。

二、影响范围

Apache APISIX Dashboard < 2.10.1

三、漏洞复现

好啦，我们来进行漏洞复现，非常简单

利用fofa语句：title="Apache APISIX Dashboard"

找到一个网站

用bp抓包，在数据包中添加/apisix/admin/migrate/export ，放包，返回相关信息。

 

 四、漏洞修复建议

目前此漏洞已经修复，建议受影响用户尽快升级更新至Apache APISIX Dashboard 2.10.1版本。

下载链接：

https://github.com/apache/apisix-dashboard/releases

缓解措施：

更改默认用户名和密码，限制源IP访问 Apache APISIX Dashboard。