Cercetător ocolește Akamai WAF

Firewall-ul pentru aplicații web (WAF) de la Akamai este menit să prevină atacuri potențiale, cum ar fi refuzul de serviciu distribuit (DDoS), dar un cercetător a descoperit o modalitate de a-și ocoli protecțiile utilizând sarcini utile complexe pentru a-și confunda regulile.

Cercetătorul, cunoscut sub numele de Peter H., împreună cu Usman Mansha, a spus că de atunci Akamai a corectat vulnerabilitatea, căreia nu i s-a atribuit un număr CVE. În scris, Peter H. a explicat cum a folosit o versiune vulnerabilă a Cizmă de primăvară a ocoli Protecții WAF.

Am ajuns să reușim să ocolim Akamai WAF și să realizăm Execuția codului de la distanță (P1) utilizând injecția Spring Expression Language pe o aplicație care rulează Spring Boot”, explicația GitHub despre Akamai WAF RCE găsi explicat. „Acesta a fost al doilea RCE prin SSTI pe care l-am găsit pe acest program, după primul, programul a implementat un WAF pe care l-am putut ocoli într-o altă parte a aplicației.”