CVE-2020-11710

Zusammenfassung

In docker-kong (für Kong) bis einschließlich 2.0.3 wurde ein Problem entdeckt. Der Admin-API-Port kann über andere Schnittstellen als 127.0.0.1 erreichbar sein. HINWEIS: Der Hersteller argumentiert, dass es sich bei dieser CVE nicht um eine Schwachstelle handelt, da sie einen ungenauen Fehlerumfang und falsche Patch-Links aufweist. „1) Ungenauer Fehlerumfang – Der Fehlerumfang bezog sich auf Kongs docker-compose-Vorlage und nicht auf Kongs Docker-Image selbst. In Wirklichkeit steht dieses Problem in keinem Zusammenhang mit einer Version des Kong-Gateways. Daher ist die Beschreibung, die besagt: ‚In docker-kong (für Kong) bis einschließlich 2.0.3 wurde ein Problem entdeckt.‘, falsch. Dieses Problem tritt nur auf, wenn ein Benutzer sich dazu entscheidet, Kong über docker-compose zu starten, ohne die Sicherheitsdokumentation zu befolgen. Die docker-compose-Vorlage ist dafür gedacht, dass Benutzer schnell mit Kong loslegen können, und ist nur für Entwicklungszwecke bestimmt. 2) Falsche Patch-Links – Die CVE verweist derzeit auf eine Dokumentationsverbesserung als ‚Patch‘-Link: https://github.com/Kong/docs.konghq.com/commit/d693827c32144943a2f45abc017c1321b33ff611. Dieser Link verweist tatsächlich auf eine Verbesserung, die Kong Inc. zur Fehlersicherung vorgenommen hat. Anweisungen zum Schutz der Admin-API waren jedoch bereits hier ausführlich dokumentiert: https://docs.konghq.com/2.0.x/secure-admin-api/#network-layer-access-restrictions, die erstmals 2017 veröffentlicht wurden (wie in diesem Commit gezeigt: https://github.com/Kong/docs.konghq.com/commit/e99cf875d875dd84fdb751079ac37882c9972949). Schließlich enthält der Hyperlink zu https://github.com/Kong/kong (ein für dieses Problem nicht relevantes GitHub-Repo) in der Hyperlink-Liste keine aussagekräftigen Informationen zu diesem Thema.“

Quellen