【漏洞通告】YAPI远程代码执行漏洞

  • A+
所属分类:安全漏洞

漏洞名称 YAPI远程代码执行漏洞

组件名称 : YAPI

影响范围 : 未知

漏洞类型 : 远程代码执行

利用条件 :

1、用户认证:需要用户认证

2、触发方式:远程

综合评价

<综合评定利用难度>:未知

<综合评定威胁等级>:高危,能造成远程代码执行。


漏洞分析


组件介绍

   YAPI是由去哪儿网移动架构组(简称YMFE,一群由FE、iOS和Android工程师共同组成的具想象力、创造力和影响力的大前端团队)开发的可视化接口管理工具,是一个可本地部署的、打通前后端及QA的接口管理平台。YAPI旨在为开发、产品和测试人员提供更优雅的接口管理服务,可以帮助开发者轻松创建、发布和维护不同项目,不同平台的API。


2 漏洞描述

    2021年7月8日,深信服安全团队监测到一则YAPI组件存在远程代码执行漏洞的信息,漏洞威胁等级:高危。

    该漏洞是由于没有针对mock模块输入的内容进行检测,攻击者可利用该漏洞在进行简单的注册之后,构造恶意的JS代码绕过沙盒,最终造成远程代码执行。



影响范围


    在世界范围内,YAPI主要部署在中国,在土耳其、美国、新加坡等国家也有少量部署。

    国内主要分布在浙江、北京、广东等地。

    目前受影响的YAPI版本:未知



解决方案


1 如何检测组件系统版本

    登录站点主页,可在最下方查看组件版本:

【漏洞通告】YAPI远程代码执行漏洞


2 官方修复建议

   该漏洞官方暂未发布补丁,请受影响的用户实时关注官网以获取最新信息。链接如下:

https://github.com/YMFE/yapi


3 临时解决方案

1.关闭YAPI注册功能

2.删除恶意账户

3.回滚服务器快照

4.同步删除恶意mock脚本以防止二次攻击


时间轴


2021/7/8  深信服监测到YAPI远程代码执行漏洞信息。 

2021/7/8 深信服千里目安全实验室发布漏洞通告。



点击阅读原文,及时关注并登录深信服智安全平台,可轻松查询漏洞相关解决方案。

【漏洞通告】YAPI远程代码执行漏洞


深信服千里目安全实验室

【漏洞通告】YAPI远程代码执行漏洞

深信服科技旗下安全实验室,致力于网络安全攻防技术的研究和积累,深度洞察未知网络安全威胁,解读前沿安全技术。

● 扫码关注我们



本文始发于微信公众号(深信服千里目安全实验室):【漏洞通告】YAPI远程代码执行漏洞

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: