RadwareのクラウドWAFに脆弱性 - フィルタ回避のおそれ

Radwareが提供するクラウド型ウェブアプリケーションファイアウォール「Radware Cloud Web Application Firewall（WAF）」にフィルタリング処理を回避できる複数の脆弱性が判明した。

CERT/CCは現地時間2025年5月7日にセキュリティアドバイザリを公開し、本来ブロックされるべき悪意あるリクエストがバイパスされる2件の脆弱性「CVE-2024-56523」「CVE-2024-56524」を明らかにした。

HTTPのGETリクエストにおいて、ランダムなデータを含むボディが意図的に追加されるとWAF側で正しく処理できず、フィルタをバイパスできる脆弱性が判明したという。

さらに特殊文字を含むリクエストでは検証に失敗し、WAFのフィルタによる遮断が行えず、そのままウェブアプリケーションに到達する脆弱性が判明した。

CERT/CCは、今回判明したこれら脆弱性はすでに修正されている可能性があると指摘。一方当初報告した時点よりRadwareは報告者の指摘へ応答していないと説明。脆弱性に関する詳細な情報なども明らかとなっていない。

（Security NEXT - 2025/05/08 ）ツイート