CVE-2022-1561

Description

Lura and KrakenD-CE versions older than v2.0.2 and KrakenD-EE versions older than v2.0.0 do not sanitize URL parameters correctly, allowing a malicious user to alter the backend URL defined for a pipe when remote users send crafty URL requests. The vulnerability does not affect KrakenD itself, but the consumed backend might be vulnerable.

Gravité et risque d'exploitation

CVE-2022-1561 obtient un score CVSS de 4.0/10, soit une gravité moyenne. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.59 %, ce qui la place devant 47.2 % des CVE référencées.

Que faire ?

• Vérifiez si Lura Project (versions <v2.0.2, v2.0.0, v2.0.2, <v2.0.0) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://www.incibe-cert.es/en/early-warning/security-advisories/crafted-backend-urls-lura-project
• https://www.krakend.io/blog/cve-2022-1561-crafted-backend-urls/