リモートホストにインストールされている Apache APISIX Dashboard のバージョンは、2.6.1 より前の 2.6 です。したがって、認証バイパスの脆弱性の影響を受けます。Apache APISIX ダッシュボードバージョン 2.6 で、ユーザーが外部ネットワークアクセスを構成しやすくするために、listen host のデフォルト値を 0.0.0.0 に変更しました。IP 許可リスト制限で、IP 取得に危険な関数が使用されていました。これにより、ネットワーク制限をバイパスすることが可能でした。同時に、デフォルトのアカウントとパスワードが修正されます。最終的には、これらの要素がセキュリティリスクの問題につながります。この問題は、APISIX ダッシュボード 2.6.1 で修正されています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

Apache APISIX Dashboard 2.6 < 2.6.1 の認証バイパス

medium Nessus プラグイン ID 161978

変更ログが見つかりません