🇰🇷 한글 설명
Roxy-WI의 HAProxy 설정 저장 API에서 입력값 검증 부재로 인해 악성 HAProxy 지시문이 삽입될 수 있습니다. 인증된 사용자가 이를 통해 외부 체크 명령을 주입하면 로드 밸런서에서 원격 코드 실행(RCE)이 가능합니다.
💡 쉬운 설명
관리자 도구의 입력창을 통해 해커가 서버 명령어를 직접 입력할 수 있는 구멍이 있습니다. 이 구멍을 이용해 해커는 로드 밸런서 서버를 완전히 장악할 수 있습니다.
🇺🇸 원문 (English)
Roxy-WI is a web interface for managing Haproxy, Nginx, Apache and Keepalived servers. In versions 8.2.6.4 and prior, the HAProxy section-save endpoints (POST /api/service/haproxy/<server_id>/section/<section_type> and the PUT / global / defaults variants) accept a JSON option field that is not validated, not escaped, and is rendered verbatim into the generated HAProxy configuration via the section.j2, global.j2, and defaults.j2 Ansible templates. Because Roxy-WI then pushes the generated config to the load balancer and runs systemctl reload haproxy, an authenticated user with role ≤ 3 (user) can inject arbitrary HAProxy directives into the config that runs on every load balancer their group manages — including option external-check + external-check command /bin/bash -c '…', which gives remote code execution on the load balancer as the haproxy user on every health-check tick. At time of publication, there are no publicly available patches.
📍 영향받는 시스템
Roxy-WI version <= 8.2.6.4
⚔️ 공격 벡터
인증된 사용자가 API를 통해 악성 HAProxy 설정을 주입하여 외부 체크 명령어 실행
🛡️ 대응 방법
공급사의 공식 패치가 출시될 때까지 해당 API 엔드포인트 접근을 차단하거나 입력값 검증 로직을 추가하십시오.
🔧 검증 코드
명령어 실행 시 8.2.6.4 이하의 버전 문자열이 출력되면 취약한 버전이 설치되어 있습니다.
grep -r 'version' /opt/roxy-wi/ 2>/dev/null | grep -E '8\.2\.6\.4|<8\.2\.6\.4'