KnowSafe 安全预警：Kong Admin Rest API未授权访问漏洞（CVE-2020-11710）

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2020-11710 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

Kong API 网关是目前最受欢迎的云原生 API 网关之一，它通过插件的形式提供负载均衡等多重功能。

Kong 使用 Kong Admin Rest API 作为管理 Kong Proxy 能力的关键入口。在 2.0.3 版本之前，当企业遵循官方文档或默认配置使用 Docker 容器的方式搭建 Kong API 网关时，会在默认情况下将未经鉴权的Admin Rest API 对公网开放，导致攻击者可以通过未授权访问Admin Rest API，从而控制Kong API网关。

影响范围

应用：konghq docker-kong（影响面 Up to (including) 2.0.3）

解决方案

Kong Admin Rest API 默认监听端口是 8001 和 8444 ，建议将其设置为绑定在本地。

参考信息

https://github.com/Kong/docker-kong/commit/dfa095cadf7e8309155be51982d8720daf32e31c

https://github.com/Kong/docs.konghq.com/commit/d693827c32144943a2f45abc017c1321b33ff611

https://github.com/Kong/docs.konghq.com/commit/e99cf875d875dd84fdb751079ac37882c9972949

https://github.com/Kong/kong

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。