CVE-2020-11710

सारांश

docker-kong (Kong के लिए) 2.0.3 तक एक समस्या खोजी गई थी। एडमिन API पोर्ट 127.0.0.1 के अलावा अन्य इंटरफेस पर भी सुलभ हो सकता है। नोट: विक्रेता का तर्क है कि यह CVE कोई कमजोरी नहीं है क्योंकि इसमें गलत बग स्कोप और पैच लिंक हैं। "1) गलत बग स्कोप - समस्या का दायरा Kong के docker-compose टेम्पलेट पर था, न कि Kong की docker इमेज पर। वास्तव में, यह समस्या Kong गेटवे के किसी भी संस्करण से जुड़ी नहीं है। इस प्रकार, यह विवरण कि 'docker-kong (Kong के लिए) 2.0.3 तक एक समस्या खोजी गई थी' गलत है। यह समस्या केवल तभी होती है जब कोई उपयोगकर्ता सुरक्षा दस्तावेज़ीकरण का पालन किए बिना docker-compose के माध्यम से Kong को चालू करने का निर्णय लेता है। docker-compose टेम्पलेट उपयोगकर्ताओं को Kong के साथ जल्दी से शुरू करने के लिए है, और केवल विकास उद्देश्यों के लिए है। 2) गलत पैच लिंक - CVE वर्तमान में एक दस्तावेज़ीकरण सुधार को 'पैच' लिंक के रूप में इंगित करता है: https://github.com/Kong/docs.konghq.com/commit/d693827c32144943a2f45abc017c1321b33ff611। यह लिंक वास्तव में उस सुधार की ओर इंगित करता है जो Kong Inc ने फूल-प्रूफिंग के लिए किया था। हालाँकि, एडमिन API की सुरक्षा कैसे करें इसके निर्देश पहले से ही यहाँ अच्छी तरह से प्रलेखित थे: https://docs.konghq.com/2.0.x/secure-admin-api/#network-layer-access-restrictions, जो पहली बार 2017 में प्रकाशित हुआ था (जैसा कि इस कमिट में दिखाया गया है: https://github.com/Kong/docs.konghq.com/commit/e99cf875d875dd84fdb751079ac37882c9972949) अंत में, हाइपरलिंक सूची में https://github.com/Kong/kong (इस समस्या से असंबंधित एक GitHub रेपो) का हाइपरलिंक इस विषय पर कोई सार्थक जानकारी शामिल नहीं करता है।"

स्रोत