🇰🇷 한글 설명
Apache APISIX의 openid-connect 플러그인에서 데이터 인증 검증이 불충분하여 발생하는 취약점입니다. 공격자가 신원 헤더를 위조함으로써 보호된 리소스에 권한 없이 접근할 수 있습니다.
💡 쉬운 설명
로그인 정보를 확인하는 과정이 허술하여, 공격자가 마치 다른 사용자인 것처럼 속여서 시스템에 들어올 수 있는 문제입니다. 이를 통해 허가되지 않은 데이터에 접근할 위험이 있습니다.
🇺🇸 원문 (English)
Insufficient Verification of Data Authenticity vulnerability in Apache APISIX.
The openid-connect plugin under default configuration has an attack surface that allows the attacker to spoof identity headers allowing the attacker to get unauthorized access the protected resources.
This issue affects Apache APISIX: from 2.3 through 3.16.0.
Users are recommended to upgrade to version 3.17.0, which fixes the issue.
📍 영향받는 시스템
Apache APISIX 2.3 버전부터 3.16.0 버전까지
⚔️ 공격 벡터
openid-connect 플러그인의 설정 취약점을 이용한 신원 헤더(Identity Header) 위조
🛡️ 대응 방법
Apache APISIX를 취약점이 해결된 3.17.0 버전 이상으로 업그레이드하십시오.
🔧 검증 코드
출력된 버전이 2.3 이상 3.16.0 이하인지 확인하여 취약 여부를 판단합니다.
apisix --version 2>/dev/null || apisix -v 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
💻 영향받는 소프트웨어
IBM Verify Identity Access