Apisix-dashboard多个漏洞风险通告

作者：

发布时间：2021-01-25

　　近日，Apisix-dashboard披露了多个高危漏洞。攻击者可利用这些漏洞导致拒绝服务等危害。为避免您的业务受影响，建议您及时开展安全自查，如在受影响范围，请您及时进行更新修复，避免被外部攻击者入侵。

　　漏洞详情

　　CVE-2021-3121(高危)

　　是在1.3.2之前的GoGo Protobuf中发现的一个问题。该问题是由 plugin / unmarshal / unmarshal.go缺少某些索引验证导致

　　CVE-2020-35380(高危)

　　1.6.4之前的GJSON允许攻击者通过精心制作的JSON导致拒绝服务

　　CVE-2020-36066(高危)

　　GJSON <1.6.5允许攻击者通过精心制作的JSON导致远程拒绝服务。

　　CVE-2020-36067(高危)

　　GJSON <= v1.6.5允许攻击者通过精心设计的GET调用导致拒绝服务。

　　CVE-2020-15168(中危)

　　在进行重定向后，版本2.6.1和3.0.0-beta.9之前的node-fetch不支持size选项，这意味着当内容大小超出限制时，将永远不会因为FetchError的失败导致该过程结束。

　　CVE-2020-7760(中危)

　　该漏洞会影响5.58.2之前的程序包codemirror。可由特殊构造的正则表达式造成ReDOS

　　风险等级

　　高

　　漏洞风险

　　攻击者可利用该漏洞，导致拒绝服务等危害

　　影响版本

　　CVE-2021-3121：protobuf < v1.3.2

　　CVE-2020-35380 、CVE-2020-36066、CVE-2020-36067：GJSON <= v1.6.5

　　CVE-2020-15168：node-fetch < 2.0.0-alpha.9

　　CVE-2020-7760：codemirror =< 5.57.0

　　安全版本

　　CVE-2021-3121：protobuf 升级到v1.3.2及以上

　　CVE-2020-35380 、CVE-2020-36066、CVE-2020-36067：GJSON 升级到v1.6.7及以上

　　CVE-2020-15168：node-fetch升级到2.0.0-alpha.9及以上

　　CVE-2020-7760：codemirror 升级到5.59.1及以上

　　修复建议

　　官方已发布安全版本，建议您尽快升级到最新版本，避免相关安全风险。

　　【备注】：建议您在升级前做好数据备份工作，避免出现意外

　　漏洞参考

标签：

最新资讯: 下一代防火墙是什么？; 服务器被攻击怎么防御?; 网络安全合规性报告包括哪些内容; 网络安全中态势感知解决方案; 容器安全防护服务有哪些？; 什么是日志审计系统?日志审计系统有什么用?; 企业面对网络安全应该怎么做？; 云堡垒机是什么有什么用?; 如何免费获取企业服务器安全检测报告？; 免费服务器安全体检报告怎么获取