CVE-2022-24112
apisix/batch-requests प्लगइन X-REAL-IP हेडर को ओवरराइट करने की अनुमति देता है
- प्रकाशित
- 11 फ़र॰ 2022
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 16 मार्च 2022
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
एक हमलावर Admin API की IP प्रतिबंध को बायपास करने के लिए batch-requests प्लगइन का दुरुपयोग करके अनुरोध भेज सकता है। Apache APISIX का एक डिफ़ॉल्ट कॉन्फ़िगरेशन (डिफ़ॉल्ट API key के साथ) रिमोट कोड निष्पादन के लिए असुरक्षित है। जब admin key बदल दिया जाता है या Admin API का पोर्ट data panel से अलग पोर्ट पर बदल दिया जाता है, तो प्रभाव कम होता है। लेकिन Apache APISIX के data panel की IP प्रतिबंध को बायपास करने का जोखिम अभी भी बना रहता है। batch-requests प्लगइन में एक जाँच होती है जो क्लाइंट IP को उसके वास्तविक रिमोट IP से ओवरराइड कर देती है। लेकिन कोड में एक बग के कारण, इस जाँच को बायपास किया जा सकता है।
स्रोत
modules/exploits/multi/http/apache_apisix_api_default_token_rce.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Unix($.exploit_multi/http/apache_apisix_api_default_token_rce.platform)
- verification: check_declared($.exploit_multi/http/apache_apisix_api_default_token_rce.check)
http/cves/2022/CVE-2022-24112.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
- oob: interactsh_reference($.template_text)
Apache APISIX 2.12.x RCE (CVE-2022-24112) के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, Lua filter_func इंजेक्शन के माध्यम से। यह कमजोर लक्ष्यों पर मनमाने सिस्टम कमांड निष्पादित करता है।
- CVE-2022-24112एक्सप्लॉइट
CVE-2022-24112：Apache APISIX apisix/batch-requests RCE
- cve-2022-24112एक्सप्लॉइट
Apache APISIX < 2.12.1 रिमोट कोड निष्पादन और डॉकर लैब
CVE-2022-24112_POC
- exploit_CVE-2022-24112एक्सप्लॉइट
Apache APISIX v2.12.1 के लिए नया एक्सप्लॉइट - दूरस्थ कोड निष्पादन (RCE)
Apache APISIX apisix/batch-requests RCE
Apache APISIX 2.12.1 में IP प्रतिबंध बायपास और डिफ़ॉल्ट एडमिन AIP टोकन का उपयोग करके रिमोट कोड निष्पादन
- Apache-APISIX-CVE-2022-24112एक्सप्लॉइट
Apache APISIX रिमोट कोड निष्पादन (CVE-2022-24112) अवधारणा प्रमाण शोषण
- CVE-2022-24112एक्सप्लॉइट
CVE-2022-24112: Apache APISIX रिमोट कोड एक्ज़ीक्यूशन भेद्यता
- CVE-2022-24112एक्सप्लॉइट
Apache APISIX batch-requests RCE(CVE-2022-24112)
- APT-Backpackएक्सप्लॉइट
cve-2019-11510, cve-2019-19781, cve-2020-5902, cve-2021-1497, cve-2021-20090, cve-2021-22006, cve-2021-22205, cve-2021-26084, cve-2021-26855, cve-2021-26857, cve-2021–26857, cve-2021–26858, cve-2021–26865
Ven3xy · multiple · 16 मार्च 2022
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।