Radware WAF爆出Filter Bypass漏洞，但廠商說2023年就已修補

美國電腦網路危機處理暨協調中心（CERT Coordination Center，CERT/CC）上周發布安全公告，警告資料中心業者Radware雲端網頁應用防火牆（Cloud Web Application Firewall, Cloud WAF）有二項漏洞，可讓攻擊者繞過安全過濾機制攻擊Web應用程式。不過Radware對媒體說，二項漏洞早在2023年就已經修補。

這兩項漏洞分別是CVE-2024-56523及CVE-2024-56524。根據CERT/CC說明，Radware Cloud WAF可以讓攻擊者以二種方法繞過安全過濾機制。第一是以變造的HTTP呼叫；以HTTP GET方法呼叫的HTTP內容本體包含隨機資料，就可繞過WAF保護。第二則是利用WAF處理用戶輸入訊息時，對某一特別字元驗證不足的漏洞，一旦呼叫內容包含特定字元，就可繞過WAF過濾機制，使惡意程式傳送到底層Web 應用程式。攻擊者還能在不引發防火牆干擾情況下執行其他攻擊。

CERT/CC公告未提供二項漏洞的風險值。但資安廠商Tenable 將二項漏洞(CVE-2024-56523、CVE-2024-56524)列為重大風險。

二項漏洞是由安全研究人員Oriol Gegundez發現且通報Radware。不過這家雲端及實體資料中心業者未證實研究人員的發現，資安媒體SecurityWeek也說該公司沒有回應其澄清詢問。

但周日Radware主動對媒體說明，CERT/CC公告的二項漏洞早在2023年就接獲通報，而且已經修補。其中之一是立即解決，因為並不影響客戶產品配置，第二項漏洞則包一個更新版本，以及對全球Radware客戶及雲端WAF發布簽章。此外．基於個別用戶的回饋意見，針對第二項漏洞修補該公司是提供配置指引，而非全球強制部署。因此只有客戶要求才會提供配置更新。