CVE-2025-54123

요약

Hoverfly는 오픈소스 API 시뮬레이션 도구입니다. 1.11.3 및 이전 버전에서 Hoverfly의 미들웨어 기능은 사용자 입력에 대한 검증과 정화가 충분하지 않아 `/api/v2/hoverfly/middleware` 엔드포인트에서 명령 주입 취약점에 취약합니다. 이 취약점은 미들웨어 관리 API 엔드포인트 `/api/v2/hoverfly/middleware`에 존재합니다. 이 문제는 세 가지 코드 수준 결함의 조합으로 발생합니다. middleware.go 94-96행의 불충분한 입력 검증, local_middleware.go 14-19행의 안전하지 않은 명령 실행, 그리고 hoverfly_service.go 173행의 테스트 중 즉시 실행입니다. 이로 인해 공격자는 취약한 Hoverfly 서비스를 실행 중인 모든 시스템에서 원격 코드 실행(RCE)을 달성할 수 있습니다. 입력이 적절한 검사 없이 시스템 명령에 직접 전달되므로, 공격자는 악성 페이로드를 업로드하거나 Hoverfly 프로세스의 권한으로 호스트 서버에서 임의의 명령(리버스 셸 포함)을 직접 실행할 수 있습니다. 버전 1.12.0의 커밋 17e60a9bc78826deb4b782dca1c1abd3dbe60d40은 set middleware API를 기본적으로 비활성화하며, 이후 문서 변경을 통해 사용자들이 set middleware API 노출의 보안 변경 사항을 인지하도록 합니다.

• Hoverfly-1.11.3-RCE-CVE-2025-54123-Exploit익스플로잇

  CVE-2025-54123에 대한 익스플로잇으로, Hoverfly의 미들웨어 API에서 발생하는 인증된 OS 명령 주입 취약점을 악용하며, 승인된 보안 테스트를 위한 확인 전용, 단일 명령, 대화형 셸 및 리버스 셸 기능을 제공합니다.

• CVE-2025-54123PoC

  CVE-2025-54123에 대한 Python 개념 증명(PoC)으로, 자격 증명 또는 토큰 기반 인증을 사용하는 Hoverfly 미들웨어 API에서 명령 주입(command injection)을 통해 RCE(원격 코드 실행)를 달성하는 방법을 보여줍니다.

• CVE-2025-54123