CVE-2026-3416
Təsvir
API Publisher komponenti əvvəllər Webhook HMAC təsdiqləməsi üçün ortaq gizli açarlar yaratmaq məqsədilə kriptoqrafik olmayan psevdotəsadüfi ədəd generatorundan (PRNG) istifadə edirdi. Bu PRNG təhlükəsizlik baxımından həssas əməliyyatlar üçün kifayət qədər entropiyaya malik deyil və bu, təcrübəli hücumçunun gələcək gizli açarları proqnozlaşdırmasına şərait yaradır. Bu, bədniyyətli aktorlara etibarlı HMAC imzaları ilə hadisə payload-larını saxtalaşdırmağa və beləliklə, API Gateway-in autentiklik yoxlamasını yan keçməyə imkan verir. Uğurlu istismar hücumçuya Webhook HMAC təsdiqləməsi üçün istifadə olunan ortaq gizli açarları proqnozlaşdırmağa və etibarlı imzalarla hadisə payload-larını saxtalaşdırmağa imkan verə bilər. Bu, API Gateway autentiklik yoxlamalarının yan keçilməsinə səbəb ola bilər ki, bu da icazəsiz hadisə injeksiyasına, məlumatların manipulyasiyasına və ya aşağı axın sistemlərinin kompromis edilməsinə gətirib çıxara bilər.
Necə düzəltmək olar
- wso2 api_control_plane4.5.0.53 və ya daha yeni versiya
- wso2 api_manager4.1.0.253, 4.2.0.193, 4.3.0.104, 4.4.0.68, 4.5.0.52 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| wso2 api_control_plane | 4.5.0 ≤ v < 4.5.0.53 | 4.5.0.53 |
| wso2 api_manager | 4.1.0 ≤ v < 4.1.0.253, 4.2.0 ≤ v < 4.2.0.193, 4.3.0 ≤ v < 4.3.0.104, 4.4.0 ≤ v < 4.4.0.68, 4.5.0 ≤ v < 4.5.0.52 | 4.1.0.253, 4.2.0.193, 4.3.0.104, 4.4.0.68, 4.5.0.52 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.