Vulnérabilité dans com.ctrip.framework.apollo:apollo (CVE-2025-32781)
Résumé
Vulnérabilité dans com.ctrip.framework.apollo:apollo (CVE-2025-32781). Des informations confidentielles peuvent être exposées. Exploitable via GET /envs/{env}/releases/{releaseId}.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
Apollo Portal versions before 2.5.0 do not verify application and namespace permissions when an authenticated user requests a release by ID through GET /envs/{env}/releases/{releaseId}.
When configView.memberOnly.envs is enabled for the requested environment, a low-privileged Portal user can supply a valid release ID belonging to an application or namespace they are not authorized to view. The endpoint returns the release data without calling UserPermissionValidator.shouldHideConfigToCurrentUser(...).
Impact
An authenticated attacker who obtains or guesses a valid release ID can read configuration data from other applications and namespaces. Exposed configuration may contain sensitive values such as credentials or service endpoints. The issue does not allow configuration modification and does not directly affect availability.
Affected versions
Apollo Portal versions earlier than 2.5.0 are affected when configView.memberOnly.envs is enabled.
Patches
The issue is fixed in Apollo 2.5.0. The fix adds the missing application and namespace permission check before returning release data.
- Fix: https://github.com/apolloconfig/apollo/pull/5378
- Fix commit: https://github.com/apolloconfig/apollo/commit/362735ded4f13b62f6ab9df135d7096066e8e291
- Patched release: https://github.com/apolloconfig/apollo/releases/tag/v2.5.0
Workarounds
Upgrade to Apollo 2.5.0 or later. If an immediate upgrade is not possible, backport the permission check fro…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2025-32781 a été découverte dans com.ctrip.framework.apollo:apollo.
Des attaquants peuvent cibler un point d'entrée spécifique comme GET /envs/{env}/releases/{releaseId} à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 6.5/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « com.ctrip.framework.apollo:apollo CVE-2025-32781 » sur le site de l'éditeur.
CVE-2025-32781 (com.ctrip.framework.apollo:apollo) — CWE-639 / CVSS v3 6.5
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : GET /envs/{env}/releases/{releaseId} / configView.memberOnly.envs
Contournement : Upgrade to Apollo 2.5.0 or later.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-639) affecte com.ctrip.framework.apollo:apollo. Les attaquants atteignent le code vulnérable via GET /envs/{env}/releases/{releaseId}.
Consultez l'avis de l'éditeur pour les versions affectées de com.ctrip.framework.apollo:apollo. Surface d'attaque : GET /envs/{env}/releases/{releaseId} / configView.memberOnly.envs.
Gravité : Moyenne (CVSS 6.5/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers la version corrigée selon l'avis éditeur.
Contournement : Upgrade to Apollo 2.5.0 or later.
Recherchez dans les logs webserver/proxy/WAF des requêtes anormales vers GET /envs/{env}/releases/{releaseId} (en-têtes d'auth malformés, méta-caractères SQL).
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
Audit SBOM/dependencies for affected components.資産台帳・SBOM・依存マニフェストで com.ctrip.framework.apollo:apollo を使っているサービスとバージョンを洗い出す。
-
2Hunt for indicators of compromise detect
grep 'GET /envs/{env}/releases/{releaseId}' /var/log/nginx/access.log | grep -E '(unusual_payload|sqli_pattern)'アクセスログで
GET /envs/{env}/releases/{releaseId}への異常なリクエスト (不正な認証ヘッダ・SQLメタ文字)を過去 30〜90日分捜索。WAF/SIEM があれば該当パスのアラート発火履歴を確認。 -
3Apply temporary workaround mitigate
Upgrade to Apollo 2.5.0 or later.パッチが適用されるまでの応急処置として、Upgrade to Apollo 2.5.0 or later. を実施。回避策の副作用 (機能低下) を確認した上で。
-
4Post-deployment verification verify
Replay attack against GET /envs/{env}/releases/{releaseId} on staging to confirm patch closes the vectorパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番では Step 2 と同じログクエリでアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com