AG公司云
【清静通告】YAPI认证用户使用Mock功效举行远程执行代码通告
2021-07-09
一. 事务概述
克日，AG公司科技CERT监测发明 YAPI 可视化接口治理平台保存在野攻击事务，由于大宗用户使用 YAPI的默认设置并允许从外部网络会见 YAPI服务。导致攻击者通过注册平台账户后，可以使用 YAPI 的 Mock 功效在受影响的服务器上执行恣意 javascript 代码，从而控制目的服务器。YAPI官方暂未宣布新闻和修复计划，现在PoC已果真，请相关用户接纳步伐举行防护。
YAPI是由去哪儿网移动架构组（YMFE）开发的可视化接口治理工具，是一个可外地安排的、买通前后端及QA的接口治理平台。
参考链接：
https://github.com/YMFE/yapi/issues/2233
二. 影响规模
受影响版本
l YAPI <= v1.9.2
三. 威胁防护
3.1 防护建议
现在官方暂未针对该问题宣布修复计划，受影响的用户可参考下列步伐举行防护：
1、榨取公网会见YAPI
2、关闭YAPI服务注册功效
3、关闭YAPI Mock功效
声明
本清静通告仅用来形貌可能保存的清静问题，AG公司科技不为此清静通告提供任何包管或允许。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，AG公司科技以及清静通告作者不为此肩负任何责任。
AG公司科技拥有对此清静通告的修改息争释权。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容。未经AG公司科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的。
