注目★★★★★GitHub Advisory
Apollo ConfigService、認証回避で設定ファイル読み取り可能に—2.5.2 で修正
30秒で把握
- 1Apollo ConfigService の raw 設定ファイルエンドポイントで認証解析不具合により、appId を「raw」と誤解析され署名検証が無視される
- 2AccessKey 認証が有効でも認証チェック迂回で設定ファイル読み取り可能、データベース認証情報や API キー露出リスク
- 3Apollo 2.5.2 以降へ更新必須・本番環境は更新前にアクセスログで不正リクエストの有無を確認
要約
Apollo ConfigService の raw 設定ファイルエンドポイントで認証解析の不具合が生じ、AccessKey・管理キー認証が有効でも認証チェックを迂回してデータを読み取られる可能性がある。/configfiles/raw/{appId}/{clusterName}/{namespace} へのリクエストが appId を「raw」として誤解析され、実際の認証情報の照合を飛ばされるため、「raw」という名前のアプリケーション向け AccessKey が未設定なら署名検証が無視される。未認証の攻撃者が対象アプリケーションの生の設定データにアクセスできる可能性があり、Apollo 2.5.2 で修正された。
あなたへの影響
Apollo ConfigService を本番運用するチームは 2.5.2 への更新を近日中に計画してください。
推奨：特に AccessKey 認証を有効にしている環境では、更新前に設定ファイルへのアクセスログを確認し、不正なリクエストが記録されていないか確認を推奨します。