Исследователь обходит Akamai WAF

Брандмауэр веб-приложений Akamai (WAF) предназначен для отражения потенциальных атак, таких как распределенный отказ в обслуживании (DDoS), но исследователь обнаружил способ обойти его защиту, используя сложные полезные нагрузки, чтобы запутать его правила.

Исследователь, известный как Питер Х., вместе с Усманом Маншей заявили, что с тех пор Akamai исправила уязвимость, которой не был присвоен номер CVE. В статье Питер Х. объяснил, как он использовал уязвимую версию Весенний ботинок обойти Защита WAF.

В итоге мы смогли обойти Akamai WAF и добиться удаленного выполнения кода (P1) с помощью внедрения Spring Expression Language в приложение, работающее под Spring Boot», — поясняет GitHub. Акамай WAF RCE найти объяснение. «Это был второй RCE через SSTI, который мы обнаружили в этой программе, после первого в программе был реализован WAF, который мы смогли обойти в другой части приложения».