Akamai의 WAF(웹 애플리케이션 방화벽)는 DDoS(분산 서비스 거부)와 같은 잠재적인 공격을 차단하기 위한 것이지만, 한 연구원이 복잡한 페이로드를 사용하여 규칙을 혼동함으로써 보호 기능을 우회하는 방법을 발견했습니다.

Peter H.로 알려진 연구원은 Usman Mansha와 함께 Akamai가 CVE 번호가 할당되지 않은 취약점에 대해 패치를 적용했다고 말했습니다. 글에서 Peter H.는 취약한 버전의 봄 부팅 우회로 WAF 보호.

"우리는 결국 Akamai WAF를 우회하고 Spring Boot를 실행하는 애플리케이션에서 Spring Expression Language 주입을 사용하여 원격 코드 실행(P1)을 달성할 수 있었습니다.” 아카마이 WAF RCE 설명을 찾으십시오. "이것은 우리가 이 프로그램에서 발견한 SSTI를 통한 두 번째 RCE였습니다. 첫 번째 이후 프로그램은 응용 프로그램의 다른 부분에서 우회할 수 있는 WAF를 구현했습니다."