Plateforme
other
Composant
akana-api-platform
Corrigé dans
2022.1.1 (CVE-2024-2796 Patch)
2022.1.2 (CVE-2024-2796 Patch)
2024.1.0
2022.1.3.2
Une vulnérabilité de type Server-Side Request Forgery (SSRF) a été découverte dans la plateforme Akana API Platform, affectant les versions antérieures à et incluant 2022.1.3. Cette faille permet à un attaquant de forcer le serveur à effectuer des requêtes vers des ressources internes, potentiellement sensibles. Les versions concernées sont 0.0.0 à 2024.1.0. Une correction est désormais disponible dans la version 2024.1.0.
L'exploitation réussie de cette vulnérabilité SSRF permet à un attaquant de contourner les contrôles de sécurité et d'accéder à des ressources internes qui ne seraient normalement pas accessibles depuis l'extérieur. Cela peut inclure l'accès à des métadonnées de services cloud, des informations de configuration sensibles, ou même l'exécution de commandes sur des systèmes internes si des endpoints vulnérables sont exposés. Le risque est aggravé par la possibilité d'utiliser cette vulnérabilité pour scanner le réseau interne à la recherche d'autres vulnérabilités, ouvrant la voie à une compromission plus large. Des attaques similaires utilisant des SSRF ont permis de compromettre des infrastructures critiques en accédant à des bases de données et des systèmes de contrôle industriels.
Cette vulnérabilité a été signalée par Jakob Antonsson. Sa présence sur le KEV (Known Exploited Vulnerabilities) est à vérifier. La probabilité d'exploitation est considérée comme élevée en raison de la simplicité de l'exploitation des vulnérabilités SSRF et de l'impact potentiel. Aucune preuve d'exploitation active n'est actuellement disponible, mais la publication de la vulnérabilité rend son exploitation plus probable. Consultez le site de l'NVD (National Vulnerability Database) et de la CISA (Cybersecurity and Infrastructure Security Agency) pour les dernières informations.
Organizations utilizing Akana API Platform for managing APIs, particularly those with sensitive data or integrations with internal systems, are at risk. Environments with older, unpatched versions of the platform (prior to 2022.1.3) are especially vulnerable.
disclosure
Statut de l'Exploit
EPSS
0.29% (percentile 52%)
Vecteur CVSS
La mitigation immédiate consiste à mettre à jour la plateforme Akana API Platform vers la version 2024.1.0, qui corrige cette vulnérabilité. Si la mise à jour n'est pas possible immédiatement, une solution temporaire consiste à configurer un pare-feu applicatif web (WAF) pour bloquer les requêtes suspectes qui pourraient indiquer une tentative d'exploitation SSRF. Il est également recommandé de limiter l'accès aux ressources internes et de mettre en œuvre des contrôles d'authentification et d'autorisation stricts. Vérifiez après la mise à jour que les requêtes sortantes sont correctement validées et filtrées, et que les endpoints internes sensibles sont protégés.
Mettez à jour Akana API Platform vers la version 2024.1.0 ou ultérieure. Appliquez les correctifs CVE-2024-2796 disponibles pour les versions 2022.1.1 et 2022.1.2 si vous ne pouvez pas mettre à jour immédiatement. Consultez l'avis de sécurité du fournisseur pour obtenir des instructions détaillées.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2024-2796 is a critical server-side request forgery vulnerability in Akana API Platform versions 0.0.0–2024.1.0, allowing attackers to make requests to unintended resources.
If you are using Akana API Platform versions 0.0.0 through 2024.1.0, you are potentially affected by this SSRF vulnerability.
Upgrade to Akana API Platform version 2024.1.0 or later to resolve the vulnerability. Consider temporary workarounds if immediate upgrade is not possible.
As of the current date, there are no confirmed reports of active exploitation, but the vulnerability is publicly known and could be targeted.
Refer to the Akana API Platform security advisories for the most up-to-date information and official guidance regarding CVE-2024-2796.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.