关于我们

质量为本、客户为根、勇于拼搏、务实创新、以我所能,为你而+,助力轻松触及云端

< 返回新闻公共列表

Apisix-dashboard多个漏洞风险通告

发布时间:2021-01-23 12:48:07

尊敬的用户,您好!

近日,安全运营中心监测到,Apisix-dashboard披露了多个高危漏洞。攻击者可利用这些漏洞导致拒绝服务等危害。

为避免您的业务受影响,棉花云建议您及时开展安全自查,如在受影响范围,请您及时进行更新修复,避免被外部攻击者入侵。

漏洞详情

CVE-2021-3121(高危)

是在1.3.2之前的GoGo Protobuf中发现的一个问题。该问题是由 plugin / unmarshal / unmarshal.go缺少某些索引验证导致

CVE-2020-35380(高危)

1.6.4之前的GJSON允许攻击者通过精心制作的JSON导致拒绝服务

CVE-2020-36066(高危)

GJSON <1.6.5允许攻击者通过精心制作的JSON导致远程拒绝服务。

CVE-2020-36067(高危)

GJSON <= v1.6.5允许攻击者通过精心设计的GET调用导致拒绝服务。

CVE-2020-15168(中危)

在进行重定向后,版本2.6.1和3.0.0-beta.9之前的node-fetch不支持size选项,这意味着当内容大小超出限制时,将永远不会因为FetchError的失败导致该过程结束。

CVE-2020-7760(中危)

该漏洞会影响5.58.2之前的程序包codemirror。 可由特殊构造的正则表达式造成ReDOS

风险等级

漏洞风险

攻击者可利用该漏洞,导致拒绝服务等危害

影响版本

CVE-2021-3121:protobuf < v1.3.2

CVE-2020-35380 、CVE-2020-36066、CVE-2020-36067:GJSON <= v1.6.5

CVE-2020-15168:node-fetch < 2.0.0-alpha.9

CVE-2020-7760:codemirror =< 5.57.0

安全版本

CVE-2021-3121:protobuf 升级到v1.3.2及以上

CVE-2020-35380 、CVE-2020-36066、CVE-2020-36067:GJSON 升级到v1.6.7及以上

CVE-2020-15168:node-fetch升级到2.0.0-alpha.9及以上

CVE-2020-7760:codemirror 升级到5.59.1及以上

修复建议

官方已发布安全版本,棉花云安全建议您尽快升级到最新版本,避免相关安全风险。

【备注】:建议您在升级前做好数据备份工作,避免出现意外

漏洞参考

https://github.com/apache/apisix-dashboard/issues/1352 

https://github.com/apache/apisix-dashboard/issues/1353 

https://github.com/apache/apisix-dashboard/issues/1354 

https://github.com/apache/apisix-dashboard/issues/1356 

棉花云运营部


/template/Home/mianhuayun/PC/Static