CVE-2025-9312
Açıklama
Birden fazla WSO2 ürününde System REST API'leri ve SOAP hizmetleri tarafından kullanılan karşılıklı TLS (mTLS) uygulamasında kimlik doğrulama zorunluluğunun eksik olmasına ilişkin bir güvenlik açığı bulunmaktadır. Belirli varsayılan yapılandırmalarda istemci sertifikasına dayalı kimlik doğrulamanın hatalı doğrulanması nedeniyle, etkilenen bileşenler mTLS etkin olsa bile kimliği doğrulanmamış isteklere izin verebilir. Bu durum, System REST API'leri için varsayılan mTLS ayarlarına güvenildiğinde veya SOAP hizmetleri için mTLS kimlik doğrulayıcısı etkinleştirildiğinde ortaya çıkar ve bu arayüzlerin ek kimlik doğrulama uygulamadan istekleri kabul etmesine neden olur. Başarılı bir istismar, etkilenen uç noktalara ağ erişimi olan kötü niyetli bir aktörün yönetici ayrıcalıkları elde etmesine ve yetkisiz işlemler gerçekleştirmesine olanak tanır. Güvenlik açığı yalnızca etkilenen mTLS akışları belirli bir dağıtımda etkinleştirildiğinde ve erişilebilir olduğunda istismar edilebilir. Mutual TLS OAuth istemci kimlik doğrulaması ve X.509 oturum açma akışları gibi diğer sertifika tabanlı kimlik doğrulama mekanizmaları etkilenmez ve WSO2 API Manager'ın API Gateway'i aracılığıyla sunulan API'ler etkilenmez.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_control_plane | 4.5.0 | — |
| wso2 api_manager | 2.2.0, 2.5.0, 2.6.0, 3.0.0, 3.1.0, 3.2.0, 3.2.1, 4.0.0, 4.1.0, 4.2.0, 4.3.0, 4.4.0, 4.5.0 | — |
| wso2 identity_server | 5.2.0, 5.3.0, 5.4.0, 5.4.1, 5.5.0, 5.6.0, 5.7.0, 5.8.0, 5.9.0, 5.10.0, 5.11.0, 6.0.0, 6.1.0, 7.0.0, 7.1.0, 7.2.0 | — |
| wso2 identity_server_as_key_manager | 5.3.0, 5.5.0, 5.6.0, 5.7.0, 5.9.0, 5.10.0 | — |
| wso2 open_banking_am | 1.4.0, 1.5.0, 2.0.0 | — |
| wso2 open_banking_iam | 2.0.0 | — |
| wso2 open_banking_km | 1.4.0, 1.5.0 | — |
| wso2 traffic_manager | 4.5.0 | — |
| wso2 universal_gateway | 4.5.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.