Apache APISIX 遠程代碼執行漏洞預警

尊敬的主題雲用户：

您好！ Apache APISIX官方發佈安全通告，披露了 APISIX batch-requests 插件存在遠程代碼執行漏洞，漏洞編號CVE-2022-24112。可導致攻擊者遠程執行任意代碼等危害。

【漏洞評級】

高風險

【漏洞描述】

CVE-2022-24112

攻擊者可以濫用batch-requests插件發送特製請求，並藉此來繞過Admin API的IP限制，如繞過 IP 黑白名單限制。或者當用户使用 Apache APISIX 默認配置時（啓用 Admin API ，使用默認 Admin Key 且沒有額外分配管理端口），攻擊者可以通過 batch-requests 插件調用 Admin API ，導致遠程代碼執行。

【影響範圍】

影響版本：

Apache APISIX < 2.12.1

Apache APISIX < 2.10.4 (LTS versions)

【修復方案】

官方已發佈漏洞補丁及修復版本，請評估業務是否受影響後，酌情升級至安全版本。

https://github.com/apache/apisix/releases/tag/2.12.1

https://github.com/apache/apisix/releases/tag/2.10.4

注：修復漏洞前請將資料備份，並進行充分測試。

【參考鏈接】

https://apisix.apache.org/zh/blog/2022/02/11/cve-2022-24112/

https://nvd.nist.gov/vuln/detail/CVE-2022-24112