CVE-2025-9312
Təsvir
Çox saylı WSO2 məhsullarında System REST API-ləri və SOAP xidmətləri tərəfindən istifadə edilən qarşılıqlı TLS (mTLS) tətbiqində autentifikasiyanın tətbiqi ilə bağlı boşluq mövcuddur. Müəyyən standart konfiqurasiyalarda müştəri sertifikatı əsaslı autentifikasiyasının yanlış yoxlanılması səbəbindən, təsirlənmiş komponentlər mTLS aktiv olsa belə, autentifikasiya olunmamış sorğulara icazə verə bilər. Bu vəziyyət, System REST API-ləri üçün standart mTLS parametrlərinə etibar edildikdə və ya SOAP xidmətləri üçün mTLS autentifikatoru aktiv edildikdə baş verir ki, bu da həmin interfeyslərin əlavə autentifikasiyanı tələb etmədən sorğuları qəbul etməsinə səbəb olur. Uğurlu istismar, təsirlənmiş son nöqtələrə şəbəkə girişi olan zərərli aktorun inzibati imtiyazlar əldə etməsinə və icazəsiz əməliyyatlar yerinə yetirməsinə imkan verir. Boşluq yalnız təsirə məruz qalan mTLS axınları konkret tətbiqdə aktiv və əlçatan olduqda istismar edilə bilər. Qarşılıqlı TLS OAuth müştəri autentifikasiyası və X.509 giriş axınları kimi digər sertifikat əsaslı autentifikasiya mexanizmləri təsirlənmir, həmçinin WSO2 API Manager-in API Gateway vasitəsilə təqdim olunan API-lər təsirdən kənardır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wso2 api_control_plane | 4.5.0 | — |
| wso2 api_manager | 2.2.0, 2.5.0, 2.6.0, 3.0.0, 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0, 4.4.0, 4.5.0 | — |
| wso2 identity_server | 5.2.0, 5.3.0, 5.4.0, 5.4.1, 5.5.0, 5.6.0, 5.7.0, 5.8.0, 5.9.0, 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0, 7.1.0, 7.2.0 | — |
| wso2 identity_server_as_key_manager | 5.3.0, 5.5.0, 5.6.0, 5.7.0, 5.9.0, 5.10.0 | — |
| wso2 open_banking_am | 1.4.0, 1.5.0, 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| wso2 open_banking_km | 1.4.0, 1.5.0 | — |
| wso2 traffic_manager | 4.5.0 | — |
| wso2 universal_gateway | 4.5.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.