APIフレームワーク「Swagger」に深刻な脆弱性、主要言語に影響

攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートからコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。 セキュリティ企業のRapid7は6月22日、オープンソースのAPIフレームワーク「Swagger」に深刻な脆弱性が見つかったと報告した。NodeJS、PHP、Ruby、Javaなど主要言語向けのSwaggerコードジェネレータに脆弱性が存在すると指摘している。 Rapid7によると、脆弱性はSwaggerの一部のコードジェネレータで、悪質なSwagger定義文書の可能性が考慮されていないことに起因する。Swagger文書内のパラメータのチェックが不適切なために、攻撃者が悪質な細工を施したSwagger文書を利用して、クライアントやサーバでリモートのコードを実行し、サービスシステムの定義に干渉できてしまう恐れがあるという。 同社

[atsushieno]

swaggerの脆弱性じゃなくてswagger処理系の脆弱性じゃねえかこれ

[nekoruri]

また面白いタイプの脆弱性だなー。

[yamitzky]

API文書自体を自分で書く場合はあまり関係ない？

[ka-ka_xyz]

クライアント側の影響は swagger-codegen 使ってて、かつ悪意のあるSwaggerドキュメントが書かれてる場合だけ？サーバーサイドでアプリを生成するようなサービスはアウトっぽい。