【漏洞通告】Apache APISIX信息泄露漏洞（CVE-2022-29266）

0x00 漏洞概述

0x01 漏洞详情

Apache APISIX是一个动态、实时、高性能的 API 网关。

4月20日，Apache发布安全公告，修复了Apache APISIX中的一个信息泄露漏洞（CVE-2022-29266）。

在2.13.1版本之前的APache APISIX中，攻击者可以通过向受jwt-auth插件保护的路由发送错误的JSON Web Token，通过错误信息响应获得插件配置的敏感信息。依赖库lua-resty-jwt中的错误逻辑允许向需要HS256 Token的端点发送RS256 Token，并在错误响应中包含原始密钥值。

影响范围

Apache APISIX < 2.13.1

0x02 安全建议

目前此漏洞已经修复，建议受影响用户及时升级更新到Apache APISIX2.13.1或更高版本。

下载链接：

https://apisix.apache.org/zh/downloads/

0x03 参考链接

https://www.mail-archive.com/[email protected]/msg07250.html

https://github.com/apache/apisix/tree/master#community

https://nvd.nist.gov/vuln/detail/CVE-2022-29266

0x04 版本信息

0x05 附录

原文始发于微信公众号（维他命安全）：【漏洞通告】Apache APISIX信息泄露漏洞（CVE-2022-29266）