CVE-2026-3416
Açıklama
API Publisher bileşeni, daha önce Webhook HMAC doğrulaması için paylaşılan gizli anahtarlar oluşturmak amacıyla kriptografik olmayan bir sözde rastgele sayı üreteci (PRNG) kullanıyordu. Bu PRNG, güvenlik açısından hassas işlemler için yeterli entropiye sahip değildir ve gelişmiş bir saldırganın gelecekteki gizli anahtarları tahmin etmesine olanak tanır. Bu durum, kötü niyetli aktörlerin geçerli HMAC imzalarına sahip olay yükleri (event payloads) oluşturarak API Gateway'in kimlik doğrulama kontrolünü atlatmasına imkan verir. Başarılı bir istismar, bir saldırganın Webhook HMAC doğrulaması için kullanılan paylaşılan gizli anahtarları tahmin etmesine ve geçerli imzalarla olay yükleri oluşturmasına izin verebilir. Bu durum, API Gateway kimlik doğrulama kontrollerinin atlatılmasına yol açarak yetkisiz olay enjeksiyonuna, veri manipülasyonuna veya alt sistemlerin ele geçirilmesine neden olabilir.
Nasıl düzeltilir
- wso2 api_control_plane4.5.0.53 ya da sonraki bir sürüm
- wso2 api_manager4.1.0.253, 4.2.0.193, 4.3.0.104, 4.4.0.68, 4.5.0.52 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| wso2 api_control_plane | 4.5.0 ≤ v < 4.5.0.53 | 4.5.0.53 |
| wso2 api_manager | 4.1.0 ≤ v < 4.1.0.253, 4.2.0 ≤ v < 4.2.0.193, 4.3.0 ≤ v < 4.3.0.104, 4.4.0 ≤ v < 4.4.0.68, 4.5.0 ≤ v < 4.5.0.52 | 4.1.0.253, 4.2.0.193, 4.3.0.104, 4.4.0.68, 4.5.0.52 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.