CVE-2020-11710| Kong Admin Rest API未授权访问漏洞通告

发布时间 2020-04-16

0x00 漏洞概述


CVE   ID

CVE-2020-11710

   

2020-04-16

   

UA

   

严重

远程利用

影响范围

Kong <= 2.0.3


0x01 漏洞详情




docker-kong是一款使用在Docker应用容器引擎中的API3网关产品。Kong API网关是目前最受欢迎的云原生API网关之一,通过插件的形式提供负载均衡等多重功能。


Kong API网关在默认Docker部署的情况下存在未授权访问漏洞,CVSS评分9.8。在使用Docker容器的方式搭建Kong API网关时,默认配置会将未经鉴权的Admin Rest API暴露在公网,导致攻击者可以未授权访问Admin Rest API,进一步控制Kong API网关。


0x02 处置建议


升级补丁,下载链接:

https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c

临时措施:

? 将Kong Admin API默认监听端口(默认8001和8444)设为禁止对公网开放,或仅对可信对象开放;

? 修改 docker-compose.yaml 中的内容将端口映射限制为 127.0.0.1。


0x03 相关资讯


https://www.tenable.com/cve/CVE-2020-11710


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-11710

https://github.com/Kong/kong


0x05 时间线


2020-03-31 Kong修复该漏洞

2020-04-12 CVE 发布该漏洞