omaratallahh/cve-2023-23138Ruby on Rails 속성 잘못된 구성에 대한 간략한 개요
루비 온 레일즈 속성 잘못된 구성에 대한 간략한 개요입니다.
때때로 개발자들은 이 엔드포인트 /rails/info/properties를 비활성화하는 것을 잊어버립니다.
이 엔드포인트가 호스트에서 활성화된 경우, 공격자는 다음 정보의 일부/전체를 볼 수 있습니다:
이 잘못된 구성을 확인하기 위해 nuclei 템플릿을 만들었습니다. 다음과 같이 사용할 수 있습니다:
nuclei -l <path of domains> -t ruby-rail-properties.yaml -rl 3000 -bs 3000
결과는 또한 가양성을 피하기 위해 수동으로 확인되었습니다.
한 호스트의 샘플은 다음과 유사합니다:
