CVE-2024-6914
Açıklama
Hesap kurtarma ile ilgili SOAP admin servisindeki bir iş mantığı hatası nedeniyle birden fazla WSO2 ürününde hatalı yetkilendirme zafiyeti bulunmaktadır. Kötü niyetli bir aktör, bu zafiyeti kullanarak herhangi bir kullanıcı hesabının şifresini sıfırlayabilir ve yüksek ayrıcalıklara sahip hesaplar da dahil olmak üzere tam bir hesap ele geçirme işlemi gerçekleştirebilir. Bu zafiyet, yalnızca etkilenen ürünlerde "/services" bağlam yolu üzerinden sunulan hesap kurtarma SOAP admin servisleri aracılığıyla istismar edilebilir. Bu uç noktalara erişim, "Security Guidelines for Production Deployment" uyarınca güvenilmeyen ağlara kapatılarak kısıtlanmışsa etki azalabilir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_manager | 2.2.0, 2.5.0, 2.6.0, 3.0.0, 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0 | — |
| wso2 identity_server | 5.3.0, 5.4.0, 5.4.1, 5.5.0, 5.6.0, 5.7.0, 5.8.0, 5.9.0, 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0 | — |
| wso2 identity_server_as_key_manager | 5.3.0, 5.5.0, 5.6.0, 5.7.0, 5.9.0, 5.10.0 | — |
| wso2 open_banking_am | 1.3.0, 1.4.0, 1.5.0, 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| wso2 open_banking_km | 1.3.0, 1.4.0, 1.5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.