CVE-2020-11710| Kong Admin Rest API未授权接见缝隙公告

颁布功夫 2020-04-16

0x00 缝隙概述


CVE   ID

CVE-2020-11710

时    间

2020-04-16

类    型

UA

等    级

严沉

远程利用

是

影响领域

Kong <= 2.0.3


0x01 缝隙详情


8827太阳集团(Macau)股份有限公司-Official website



docker-kong是一款使用在Docker利用容器引擎中的API3网关产品。。。。 。。。Kong API网关是目前最受欢迎的云原生API网关之一，，， ，，，，，通过插件的大局提供负载平衡等多沉职能。。。。 。。。


Kong API网关在默认Docker部署的情况下存在未授权接见缝隙，，， ，，，，，CVSS评分9.8。。。。 。。。在使用Docker容器的方式搭建Kong API网关时，，， ，，，，，默认配置会将未经鉴权的Admin Rest API露出在公网，，， ，，，，，导致攻击者能够未授权接见Admin Rest API，，， ，，，，，进一步节造Kong API网关。。。。 。。。


0x02 措置建议


升级补丁，，， ，，，，，下载链接：

https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c

一时措施：

? 将Kong Admin API默认监听端口（默认8001和8444）设为不容对公网盛开，，， ，，，，，或仅对可信对象盛开；；；； ；

? 批改 docker-compose.yaml 中的内容将端口映射限度为 127.0.0.1。。。。 。。。


0x03 有关新闻


https://www.tenable.com/cve/CVE-2020-11710


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-11710

https://github.com/Kong/kong


0x05 功夫线


2020-03-31 Kong建复该缝隙

2020-04-12 CVE 颁布该缝隙