CVE-2020-11710| Kong Admin Rest API未授权接见缝隙公告

颁布功夫 2020-04-16

0x00 缝隙概述


CVE   ID

CVE-2020-11710

时    间

2020-04-16

类    型

UA

等    级

严沉

远程利用

是

影响领域

Kong <= 2.0.3


0x01 缝隙详情


GA黄金甲·(中国区)官方网站



docker-kong是一款使用在Docker利用容器引擎中的API3网关产品。Kong API网关是目前最受迎接的云原生API网关之一，通过插件的大局提供负载平衡等多沉职能。


Kong API网关在默认Docker部署的情况下存在未授权接见缝隙，CVSS评分9.8。在使用Docker容器的方式搭建Kong API网关时，默认配置会将未经鉴权的Admin Rest API露出在公网，导致攻击者能够未授权接见Admin Rest API，进一步节造Kong API网关。


0x02 措置建议


升级补丁，下载链接：

https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c

一时措施：

? 将Kong Admin API默认监听端口（默认8001和8444）设为不容对公网盛开，或仅对可信对象盛开；

? 批改 docker-compose.yaml 中的内容将端口映射限度为 127.0.0.1。


0x03 有关新闻


https://www.tenable.com/cve/CVE-2020-11710


0x04 参考链接


https://nvd.nist.gov/vuln/detail/CVE-2020-11710

https://github.com/Kong/kong


0x05 功夫线


2020-03-31 Kong建复该缝隙

2020-04-12 CVE 颁布该缝隙