CVE-2020-11710| Kong Admin Rest API未授权会见误差通告

宣布时间 2020-04-16

0x00 误差概述


CVE   ID

CVE-2020-11710

时    间

2020-04-16

类    型

UA

等    级

严重

远程使用

是

影响规模

Kong <= 2.0.3


0x01 误差详情


万利国际官网(中国游)有限公司



docker-kong是一款使用在Docker应用容器引擎中的API3网关产品。。。Kong API网关是现在最受接待的云原生API网关之一，，，，，通过插件的形式提供负载平衡等多重功效。。。


Kong API网关在默认Docker安排的情形下保存未授权会见误差，，，，，CVSS评分9.8。。。在使用Docker容器的方法搭建Kong API网关时，，，，，默认设置会将未经鉴权的Admin Rest API袒露在公网，，，，，导致攻击者可以未授权会见Admin Rest API，，，，，进一步控制Kong API网关。。。


0x02 处置惩罚建议


升级补丁，，，，，下载链接：

https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c

暂时步伐：

? 将Kong Admin API默认监听端口（默认8001和8444）设为榨取对公网开放，，，，，或仅对可信工具开放； ；；； ；

? 修改 docker-compose.yaml 中的内容将端口映射限制为 127.0.0.1。。。


0x03 相关新闻


https://www.tenable.com/cve/CVE-2020-11710


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-11710

https://github.com/Kong/kong


0x05 时间线


2020-03-31 Kong修复该误差

2020-04-12 CVE 宣布该误差