Apache APISIX batch-requests 플러그인 IP 제한 우회 및 원격 코드 실행 취약점 (CVE-2022-24112)
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTApache APISIX 1.3 ~ 2.12.1 미만 버전 (2.10.4 LTS 미만 포함)
공격자가 Admin API의 IP 제한을 우회하고 기본 API 키를 악용하여 대상 서버에서 무단 원격 코드 실행(RCE)을 수행할 수 있습니다
Apache APISIX를 최신 안전한 버전(2.12.1 또는 2.10.4 LTS 이상)으로 즉시 업그레이드하고 기본 Admin Key를 변경하십시오
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
패치 및 우회 명령어1. 공식 보안 패치 및 버전 업그레이드 명령어
가장 확실한 해결책은 취약점이 해결된 Apache APISIX 2.12.1 또는 2.10.4 LTS 이상 버전으로 업그레이드하는 것입니다.
# Debian/Ubuntu 기반 시스템에서 APISIX 패키지 업데이트
sudo apt-get update
sudo apt-get --only-upgrade install apisix
# Docker 환경을 사용하는 경우 최신 안전한 이미지로 풀링 및 재기동
docker pull apache/apisix:2.12.1-alpine
docker-compose down && docker-compose up -d2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정
즉각적인 업그레이드가 어려운 경우, config.yaml 설정 파일에서 기본 Admin Key를 임의의 복잡한 문자열로 변경하고, batch-requests 플러그인을 비활성화하거나 Admin API 포트를 데이터 패널 포트와 완전히 분리해야 합니다.
# /usr/local/apisix/conf/config.yaml 수정 예시
apisix:
admin_key:
- name: 'admin'
key: 'SECURE_RANDOM_HIGH_ENTROPY_KEY_DO_NOT_USE_DEFAULT' # 기본 키 변경
role: admin
# batch-requests 플러그인 비활성화 (plugins 목록에서 제거)
plugins:
- real-ip
- limit-conn
# - batch-requests # 이 라인을 주석 처리하거나 제거3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트
APISIX 액세스 로그에서 batch-requests 엔드포인트로 향하는 비정상적인 POST 요청 및 기본 Admin Key 사용 흔적을 탐지하는 스크립트입니다.
# APISIX 액세스 로그에서 batch-requests 호출 및 200 OK 응답 이력 확인
grep -E '/apisix/batch-requests' /usr/local/apisix/logs/access.log | grep ' 200 '
# 현재 구동 중인 APISIX 버전 확인
apisix version코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
1. 취약점 개요 및 발생 원인 (Root Cause)
본 취약점은 Apache APISIX의 batch-requests 플러그인 내 IP 검증 로직 결함으로 인해 발생합니다. 해당 플러그인은 여러 HTTP 요청을 단일 배치로 묶어 처리하는 과정에서 클라이언트의 실제 IP 주소를 원격 IP로 덮어쓰는 검증 단계를 거치도록 설계되었습니다. 그러나 코드 구현 상의 버그로 인해 이 검증 절차를 우회할 수 있는 취약점이 존재합니다. 이로 인해 외부 공격자가 내부 루프백 주소(127.0.0.1) 등 허용된 IP에서 발송된 것처럼 요청을 위조할 수 있게 됩니다.
2. 공격 메커니즘 및 익스플로잇 시나리오
공격자는 batch-requests 플러그인의 엔드포인트(/apisix/batch-requests)로 특수하게 조작된 JSON 페이로드를 전송합니다. 이 페이로드 내부의 개별 요청 헤더를 조작하여 Admin API의 IP 접근 제한을 우회합니다. 만약 시스템이 기본 Admin Key(예: edd1c9f034335f136f87ad84b625c8f1)를 사용 중이거나 Admin API 포트가 데이터 패널과 분리되지 않은 경우, 공격자는 Admin API에 직접 접근하여 악성 라우트(Route)를 등록할 수 있습니다. 등록된 라우트에 filter_func 등 Lua 코드를 실행할 수 있는 스크립트를 주입함으로써 최종적으로 대상 서버에서 원격 코드 실행(RCE)을 달성합니다.
3. 비즈니스 및 인프라 파급 영향
이 취약점은 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 있으며, 실제 공격에 활발히 악용되고 있는 고위험군 취약점입니다. 성공적으로 익스플로잇될 경우, 공격자는 API 게이트웨이가 구동 중인 컨테이너 또는 호스트 서버의 최고 권한을 획득할 수 있습니다. 이는 API 게이트웨이를 통하는 모든 백엔드 마이크로서비스(MSA)의 트래픽 탈취, 데이터베이스 자격 증명 유출, 내부 네트워크로의 횡적 이동(Lateral Movement)으로 이어져 비즈니스 인프라 전체에 치명적인 피해를 초래할 수 있습니다.
공식 보안 권고문 및 참조 링크
An attacker can abuse the batch-requests plugin to send requests to bypass the IP restriction of Admin API. A default configuration of Apache APISIX (with default API key) is vulnerable to remote code execution. When the admin key was changed or the port of Admin API was changed to a port different from the data panel, the impact is lower. But there is still a risk to bypass the IP restriction of Apache APISIX's data panel. There is a check in the batch-requests plugin which overrides the client IP with its real remote IP. But due to a bug in the code, this check can be bypassed.
자주 묻는 실무 질문 (FAQ — CVE-2022-24112)
FAQQ1. CVE-2022-24112 취약점의 위험도와 실제 악용 가능성은 어느 정도입니까?
CVE-2022-24112의 기본 점수는 CVSS 9.8 (CRITICAL)이며, 향후 30일 내 실제 악용 확률을 나타내는 EPSS 점수는 96.1%입니다. 현재 미국 CISA KEV(실제 악용이 확인된 취약점 카탈로그)에 등재되어 있으므로 최우선 긴급 패치가 필요합니다.
Q2. CVE-2022-24112에 영향을 받는 벤더와 제품은 무엇입니까?
주요 영향 벤더는 apache이며, 대상 컴포넌트는 apisix입니다. 상세 영향 범위: Apache APISIX 1.3 ~ 2.12.1 미만 버전 및 2.10.0 ~ 2.10.3 (LTS) 버전
Q3. 서버 재기동이나 정규 패치 전 즉시 적용할 수 있는 완화 조치(Workaround)는 무엇입니까?
[권장 조치] Apache APISIX를 최신 안전한 버전(2.12.1 또는 2.10.4 LTS 이상)으로 즉시 업그레이드하고 기본 Admin Key를 변경하십시오 본문의 패치 및 우회 명령어 섹션과 자가 점검 체크리스트를 참고하여 외부 노출 포트를 차단하거나 WAF 탐지 규칙을 선적용하십시오.
CVE-2022-24112 사내 보안 패치 공지문 · CISO 경영진 보고서 초안 자동 생성
클릭 한 번으로 사내 이메일·노션·결재 문서에 바로 붙여넣을 수 있는 공식 보고서 양식을 생성합니다.
🔗 함께 점검해야 할 동일 벤더·스택 연관 취약점 (apache)
동일 카테고리 전체 보기 →Apache ActiveMQ Jolokia JMX-HTTP 브릿지 원격 코드 실행(RCE) 취약점 보안 권고 (CVE-2026-34197)
[영향 대상] Apache ActiveMQ Classic 5.19.4 미만 버전 및 6.0.0 이상 6.2.3 미만 버전
Apache Tomcat EncryptInterceptor 우회 및 민감 정보 평문 노출 취약점 (CVE-2026-34486)
[영향 대상] Apache Tomcat 11.0.20, 10.1.53, 9.0.116 버전에서 클러스터링(Clustering) 및 EncryptInterceptor를 사용하는 환경
Apache Tomcat EncryptInterceptor 패딩 오라클 취약점 (CVE-2026-29146) 보안 권고
[영향 대상] Apache Tomcat의 클러스터링 멤버십 보호를 위해 기본 설정으로 `EncryptInterceptor`를 사용하는 환경 (11.0.0-M1~11.0.18, 10.0.0-M1~10.1.52, 9.0.13~9.0.115, 8.5.38~8.5.100, 7.0.100~7.0.109)
Apache MINA 3.0 JavaNativeMessageDecoder 역직렬화 원격 코드 실행(RCE) 취약점 (CVE-2026-118636)
[영향 대상] Apache MINA 3.0.0 비활성 브랜치 및 해당 코덱 모듈을 사용하는 Java 애플리케이션
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.