CVE-2021-45232：Apache APISIX Dashboard RCE

Apache APISIX Dashboard 有些接口直接使用了 gin 框架导致未授权访问进而可导致远程代码执行，攻击者可利用该漏洞在未授权的情况下，构造恶意数据执行远程代码执行攻击，获取服务器控制权限。

2.7 ≤ Apache APISIX Dashboard < 2.10.1

拉取官方docker文件

git clone https://github.com/apache/apisix-docker.git

切换到example目录

cd apisix-docker/example

修改apisix-dashboard版本

修改为image: apache/apisix-dashboard:2.9.0

vim docker-compose.yml

启动环境

docker-compose -p docker-apisix up -d

cmd: ifconfig

升级至Apache Apisix Dashboard至最新版本

参考链接：

https://github.com/wuppp/apisix_dashboard_rce

https://github.com/apache/apisix/blob/master/docs/zh/latest/architecture-design/script.md

阅读原文看更多复现文章

Timeline Sec 团队

安全路上，与你并肩前行

原文始发于微信公众号（Timeline Sec）：CVE-2021-45232：Apache APISIX Dashboard RCE