YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

  • A+
所属分类:安全漏洞

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

近日,网络上爆出 YApi 的远程代码执行 0day 漏洞 正被广泛利用。攻击者通过注册用户后,即可通过 Mock 功能远程执行任意代码。

漏洞描述

YAPI接口管理平台是国内某旅行网站的大前端技术中心开源项目,使用mock数据/脚本作为中间交互层,为前端后台开发与测试人员提供更优雅的接口管理服务,该系统被国内较多知名互联网企业所采用。

YApi 是高效、易用、功能强大的 api 管理平台。但因为大量用户使用 YAPI的默认配置并允许从外部网络访问 YApi服务,导致攻击者注册用户后,即可通过 Mock功能远程执行任意代码。

漏洞复现

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

FOFA 查询

app="YApi"

影响范围

YApi最新版本仍可进行漏洞利用。

根据目前FOFA系统最新数据(一年内数据),显示全球范围内(app="YApi")共有 12,171 个相关服务对外开放。中国使用数量最多,共有 11,396 个;新加坡第二,共有 289 个;美国第三,共有 168 个;中国香港第四,共有 157 个;中国台湾第五,共有 41 个。

全球范围内分布情况如下(仅为分布情况,非漏洞影响情况)

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

中国大陆地区广东使用数量最多,共有 614 个;上海第二,共有 213 个;北京第三,共有 212 个;江苏第四,共有 203 个;浙江第五,共有 193 个。

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

修复建议

该漏洞暂无补丁。

临时修复建议:

  1. 关闭YAPI用户注册功能,以阻断攻击者注册。

  2. 利用请求白名单的方式限制 YAPI 相关端口。

  3. 排查 YAPI 服务器是否存在恶意访问记录。

暂无

参考

[1] https://github.com/YMFE/yapi/issues/2099

[2] https://github.com/YMFE/yapi/issues/2233

[3] https://mp.weixin.qq.com/s/FAMfCxvdvW-VK99k_7NYxA

[4] https://cert.360.cn/warning/detail?id=a6f9a18a26986358b86a3b131e0f24d3


END

YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

本文始发于微信公众号(网络侦查研究院):YApi 高级 Mock 远程代码执行漏洞|NOSEC安全讯息平台

发表评论

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: