CVE-2025-54123

개요

HoverFly의 미들웨어 API 엔드포인트에서 불충분한 입력 검증과 안전하지 않은 명령 실행으로 인해 발생하는 인증된 원격 코드 실행 취약점입니다.

공격 흐름

1. 인증

   • 공격자는 유효한 자격 증명 또는 세션 토큰을 사용하여 HoverFly에 인증합니다
   • /api/token-auth 엔드포인트를 통해 Bearer 토큰을 획득합니다

2. 악성 Payload 제작

   • 공격자는 다음 항목이 포함된 JSON payload를 구성합니다
     • binary: /bin/bash (사용자 제어)
     • script: 임의의 셸 명령어 (예: whoami, 리버스 셸)

3. Exploit 전달

   • 악성 payload와 함께 /api/v2/hoverfly/middleware로 PUT 요청을 전송합니다
   • Authorization 헤더에 Bearer 토큰을 포함합니다

4. 취약한 처리

   • HoverFly는 요청을 수신하고 binary 및 script 매개변수를 추출합니다
   • binary 매개변수에 대한 입력 검증이 수행되지 않습니다
   • 사용자가 제공한 스크립트 내용으로 임시 스크립트 파일을 생성합니다
   • 미들웨어 검증 중에 즉시 실행합니다: exec.Command(binary, scriptFile)

5. 코드 실행

   • 명령어는 HoverFly 프로세스 권한으로 실행됩니다
   • 출력은 오류 응답(422 상태 코드)으로 반환됩니다
   • 공격자는 임의의 명령어를 실행하거나 리버스 셸을 구축할 수 있습니다

근본 원인

• 94-96행 (middleware.go): binary 매개변수가 검증 없이 허용됨
• 14-19행 (local_middleware.go): 사용자 제어 binary가 exec.Command()에 직접 전달됨
• 173행 (hoverfly_service.go): 테스트 중 미들웨어가 즉시 실행됨

자세한 내용은 여기에서 확인할 수 있습니다: https://github.com/SpectoLabs/hoverfly/security/advisories/GHSA-r4h8-hfp2-ggmf