CVE-2024-7074
Açıklama
SOAP yönetici servislerindeki kullanıcı girdilerinin uygun şekilde doğrulanmaması nedeniyle birden fazla WSO2 ürününde rastgele dosya yükleme zafiyeti bulunmaktadır. Yönetici ayrıcalıklarına sahip kötü niyetli bir aktör, sunucuda kullanıcı kontrollü bir konuma rastgele bir dosya yükleyebilir. Bu zafiyeti kullanan bir saldırgan, özel olarak hazırlanmış bir yük (payload) yükleyerek sunucu üzerinde potansiyel olarak uzaktan kod çalıştırma (RCE) gerçekleştirebilir. İstismar işlemi geçerli yönetici kimlik bilgileri gerektirdiğinden, etkisi yetkili ancak potansiyel olarak kötü niyetli kullanıcılarla sınırlıdır.
Nasıl düzeltilir
- WSO2 WSO2 Enterprise Integrator6.0.0.21, 6.1.0.38, 6.1.1.42, 6.2.0.61, 6.3.0.69, 6.4.0.96, 6.5.0.102, 6.6.0.198 ya da sonraki bir sürüm
- WSO2 WSO2 API Manager2.0.0.28, 2.1.0.38, 2.2.0.57, 2.5.0.83, 2.6.0.143, 3.0.0.162, 3.1.0.293, 3.2.0.384, 3.2.1.16, 4.0.0.305, 4.1.0.166, 4.2.0.100, 4.3.0.16 ya da sonraki bir sürüm
- WSO2 WSO2 Enterprise Service Bus4.9.0.10, 5.0.0.28 ya da sonraki bir sürüm
- WSO2 WSO2 Enterprise Mobility Manager2.2.0.27 ya da sonraki bir sürüm
- WSO2 WSO2 Micro Integrator1.0.0.49 ya da sonraki bir sürüm
- WSO2 WSO2 Open Banking AM1.3.0.132, 1.4.0.135, 1.5.0.137, 2.0.0.342 ya da sonraki bir sürüm
- WSO2 WSO2 Carbon Synapse Artifact Uploader BE4.4.10.3, 4.6.1.4, 4.6.6.9, 4.6.10.4, 4.6.16.2, 4.6.19.10, 4.6.64.2, 4.6.67.15, 4.6.89.12, 4.6.105.59, 4.6.150.11, 4.7.20.5, 4.7.30.42, 4.7.35.5, 4.7.61.56, 4.7.99.299, 4.7.131.15, 4.7.175.18, 4.7.188.5, 4.7.204.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| WSO2 WSO2 Enterprise Integrator | 6.0.0 ≤ v < 6.0.0.21, 6.1.0 ≤ v < 6.1.0.38, 6.1.1 ≤ v < 6.1.1.42, 6.2.0 ≤ v < 6.2.0.61, 6.3.0 ≤ v < 6.3.0.69, 6.4.0 ≤ v < 6.4.0.96, 6.5.0 ≤ v < 6.5.0.102, 6.6.0 ≤ v < 6.6.0.198 | 6.0.0.21, 6.1.0.38, 6.1.1.42, 6.2.0.61, 6.3.0.69, 6.4.0.96, 6.5.0.102, 6.6.0.198 |
| WSO2 WSO2 API Manager | 2.0.0 ≤ v < 2.0.0.28, 2.1.0 ≤ v < 2.1.0.38, 2.2.0 ≤ v < 2.2.0.57, 2.5.0 ≤ v < 2.5.0.83, 2.6.0 ≤ v < 2.6.0.143, 3.0.0 ≤ v < 3.0.0.162, 3.1.0 ≤ v < 3.1.0.293, 3.2.0 ≤ v < 3.2.0.384, 3.2.1 ≤ v < 3.2.1.16, 4.0.0 ≤ v < 4.0.0.305, 4.1.0 ≤ v < 4.1.0.166, 4.2.0 ≤ v < 4.2.0.100, 4.3.0 ≤ v < 4.3.0.16 | 2.0.0.28, 2.1.0.38, 2.2.0.57, 2.5.0.83, 2.6.0.143, 3.0.0.162, 3.1.0.293, 3.2.0.384, 3.2.1.16, 4.0.0.305, 4.1.0.166, 4.2.0.100, 4.3.0.16 |
| WSO2 WSO2 Enterprise Service Bus | 4.9.0 ≤ v < 4.9.0.10, 5.0.0 ≤ v < 5.0.0.28 | 4.9.0.10, 5.0.0.28 |
| WSO2 WSO2 Enterprise Mobility Manager | 2.2.0 ≤ v < 2.2.0.27 | 2.2.0.27 |
| WSO2 WSO2 Micro Integrator | 1.0.0 ≤ v < 1.0.0.49 | 1.0.0.49 |
| WSO2 WSO2 Open Banking AM | 1.3.0 ≤ v < 1.3.0.132, 1.4.0 ≤ v < 1.4.0.135, 1.5.0 ≤ v < 1.5.0.137, 2.0.0 ≤ v < 2.0.0.342 | 1.3.0.132, 1.4.0.135, 1.5.0.137, 2.0.0.342 |
| WSO2 WSO2 Carbon Synapse Artifact Uploader BE | 4.4.10 ≤ v < 4.4.10.3, 4.6.1 ≤ v < 4.6.1.4, 4.6.6 ≤ v < 4.6.6.9, 4.6.10 ≤ v < 4.6.10.4, 4.6.16 ≤ v < 4.6.16.2, 4.6.19 ≤ v < 4.6.19.10, 4.6.64 ≤ v < 4.6.64.2, 4.6.67 ≤ v < 4.6.67.15, 4.6.89 ≤ v < 4.6.89.12, 4.6.105 ≤ v < 4.6.105.59, 4.6.150 ≤ v < 4.6.150.11, 4.7.20 ≤ v < 4.7.20.5, 4.7.30 ≤ v < 4.7.30.42, 4.7.35 ≤ v < 4.7.35.5, 4.7.61 ≤ v < 4.7.61.56, 4.7.99 ≤ v < 4.7.99.299, 4.7.131 ≤ v < 4.7.131.15, 4.7.175 ≤ v < 4.7.175.18, 4.7.188 ≤ v < 4.7.188.5, 4.7.204 ≤ v < 4.7.204.5 | 4.4.10.3, 4.6.1.4, 4.6.6.9, 4.6.10.4, 4.6.16.2, 4.6.19.10, 4.6.64.2, 4.6.67.15, 4.6.89.12, 4.6.105.59, 4.6.150.11, 4.7.20.5, 4.7.30.42, 4.7.35.5, 4.7.61.56, 4.7.99.299, 4.7.131.15, 4.7.175.18, 4.7.188.5, 4.7.204.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.