百度360必应搜狗淘宝本站头条
python判断字典是否为空crontab每周一执行aes和des区别安装指定版本npmadb pull
当前位置：网站首页 > IT知识 > 正文

研究人员发现 Swagger 相关漏洞

liuian 2024-12-03 16:30 28 浏览

网络安全机构Rapid7发现了一个有关Swagger驱动代码生成器的漏洞，该漏洞有可能让使用Node.js、PHP、Ruby和Java（也有可能包括其他语言）语言所开发的程序暴露在被黑客利用的危险之下。上周Charlie Osborne在ZDNet发表了一篇文章，文章讲述了这个漏洞。

当某个API被Swagger等API描述语言查看的时候，这个描述会被用来自动生成SDK，该SDK可以让开发人员更轻松的使用他们所选平台上相关的Web API。类似的是，这个API描述还会自动生成一个功能端点。理论上，这两者都有可能产生风险。这个漏洞不仅会在技术上影响到自动生成的API端点，还有可能导致两种结果：

  • 黑客能够修改在API描述被用来生成端点之前对该描述进行篡改。
  • 这个篡改有可能逃过API设计和开发人员的监测。

而在SDK端，情况则稍有不同，因为很多API的SDK都并非API提供者自己所提供的。SDK通常是第三方所开发的，尤其是在一些不那么流行的平台上。

Rapid7表示，研究人员在Swagger代码生成器（Swagger CodeGen）中找到了一个漏洞，该漏洞有可能会影响到文章开头所提到的那些语言，还有人担心其他一些语言也会受到影响。Swagger CodeGen接近于一个开源工具，许多第三方SDK生成产品提供商都在使用。Rapid7程序安全研究员Scott Davis表示，该漏洞允许攻击者远程执行代码，存在于 Swagger Code Generator 中，属于参数注入漏洞，允许攻击者在 Swagger JSON 文件中嵌入代码，使用 Java、PHP、NodeJS 和 Ruby 等语言开发的 Web 应用如果整合了 Swagger API 会受到影响。

简单说，这个漏洞的危险性在于，黑客可以在基于Swagger的API定义中植入恶意的可注入参数，从而导致自动生成的SDK也携带这些参数。之后，所有由这些SDK所开发的程序也会受到影响，API提供方和终端用户也有可能受到影响。例如，Rapid7发现这种基于Swagger的定义可以在Node.js、PHP、Ruby和Java环境中被远程操控。没有什么可以组织第三方使用基于Swagger的工具来对公共API进行描述，以及根据这些描述来自动生成多个SDK。开发人员要做的是，谨慎对待每一个SDK，在使用任何一个在网络上下载的SDK之前，都要怀疑它有可能存在恶意注入参数。

另外，API提供商也需要保护自己的端点和基础系统不受一些常见的威胁的影响，例如代码注入。他们需要保护自己的API描述，以及相关的资产不会被篡改。

今年4月Rapid7最早将这个问题报告给了Swagger的供应商和API团队。6月16日CERT获得了补丁；23日，一个Metasploit模式被放出。目前Swagger建议开发人员使用OWASP ESAPI这个工具来净化代码以及缓和威胁。然而，OWASP ESAPI工具并不适用于所有语言。目前Swagger CodeGen的开发商已经放出了临时补救措施，但是这个措施只能解决一时的问题。

出处：sdk.cn

相关推荐

eino v0.4.5版本深度解析:接口类型处理优化与错误机制全面升级

近日，eino框架发布了v0.4.5版本，该版本在错误处理、类型安全、流处理机制以及代理配置注释等方面进行了多项优化与修复。本次更新共包含6个提交，涉及10个文件的修改，由2位贡献者共同完成。本文将详...

SpringBoot异常处理_springboot异常注解

在SpringBoot中，异常处理是构建健壮、可维护Web应用的关键部分。良好的异常处理机制可以统一返回格式、提升用户体验、便于调试和监控。以下是SpringBoot中处理异常的完整指...

Jenkins运维之路(Jenkins流水线改造Day02-1-容器项目)

这回对线上容器服务器的流水线进行了一定的改造来满足目前线上的需求，还是会将所有的自动化脚本都放置到代码库中统一管理，我感觉一章不一定写的完，所以先给标题加了个-1，话不多说开干1.本次流水线的流程设计...

告别宕机!零基础搭建服务器监控告警系统!小白也能学会!

前言本文将带你从零开始，一步步搭建一个完整的服务器指标监控与邮件告警系统，使用的技术栈均为业界主流、稳定可靠的开源工具：Prometheus：云原生时代的监控王者，擅长指标采集与告警规则定义Node_...

httprunner实战接口测试笔记，拿走不谢

每天进步一点点，关注我们哦，每天分享测试技术文章本文章出自【码同学软件测试】码同学公众号：自动化软件测试码同学抖音号：小码哥聊软件测试01开始安装跟创建项目pipinstallhttprunne...

基于JMeter的性能压测平台实现_jmeter压测方案

这篇文章已经是两年前写的，短短两年时间，JMeter开源应用技术的发展已经是翻天覆地，最初由github开源项目zyanycall/stressTestPlatform形成的这款测试工具也开始慢...

12K+ Star!新一代的开源持续测试工具!

大家好，我是Java陈序员。在企业软件研发的持续交付流程中，测试环节往往是影响效率的关键瓶颈，用例管理混乱、接口调试复杂、团队协作不畅、与DevOps流程脱节等问题都能影响软件交付。今天，给大家...

Spring Boot3 中分库分表之后如何合并查询

在当今互联网应用飞速发展的时代，数据量呈爆发式增长。对于互联网软件开发人员而言，如何高效管理和查询海量数据成为了一项关键挑战。分库分表技术应运而生，它能有效缓解单库单表数据量过大带来的性能瓶颈。而在...

离线在docker镜像方式部署ragflow0.17.2

经常项目上会出现不能连外网的情况，要怎么使用ragflow镜像部署呢，这里提供详细的步骤。1、下载基础镜像根据docker-compose-base.yml及docker-compose.yml中的i...

看，教你手写一个最简单的SpringBoot Starter

何为Starter？想必大家都使用过SpringBoot，在SpringBoot项目中，使用最多的无非就是各种各样的Starter了。那何为Starter呢？你可以理解为一个可拔插式...

《群星stellaris》军事基地跳出怎么办?解决方法一览

《群星stellaris》军事基地跳出情况有些小伙伴出现过这种情况，究竟该怎么解决呢？玩家“gmjdadk”分享的自己的解决方法，看看能不能解决。我用英文原版、德语、法语和俄语四个版本对比了一下，结果...

数据开发工具dbt手拉手教程-03.定义数据源模型

本章节介绍在dbt项目中，如何定义数据源模型。定义并引入数据源通过Extract和Load方式加载到仓库中的数据，可以使用dbt中的sources组件进行定义和描述。通过在dbt中将这些数据集(表)声...

docker compose 常用命令手册_docker-compose init

以下是DockerCompose常用命令手册，按生命周期管理、服务运维、构建配置、扩缩容、调试工具分类，附带参数解析、示例和关键说明，覆盖多容器编排核心场景：一、生命周期管理（核心命令...

RagFlow与DeepSeek R1本地知识库搭建详细步骤及代码实现

一、环境准备硬件要求独立显卡（建议NVIDIAGPU，8GB显存以上）内存16GB以上，推荐32GB（处理大规模文档时更高效）SSD硬盘（加速文档解析与检索）软件安装bash#必装组件Docker...

Docker Compose 配置更新指南_docker-compose配置

高效管理容器配置变更的最佳实践方法重启范围保留数据卷适用场景docker-composeup-d变更的服务常规配置更新--force-recreate指定/所有服务强制重建down→up流程...

一周热门
最近发表
标签列表