WSO2 API Manager schwache Authentisierung

Zusammenfassunginfo

In WSO2 API Manager, Identity Server, Identity Server as Key Manager, Open Banking AM, Open Banking IAM and Open Banking KM wurde eine Schwachstelle entdeckt. Sie wurde als kritisch eingestuft. Es ist betroffen eine unbekannte Funktion. Mit der Manipulation mit unbekannten Daten kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Diese Schwachstelle wird als CVE-2024-6914 gehandelt. Es ist möglich, den Angriff aus der Ferne durchzuführen. Es ist kein Exploit verfügbar. Es wird empfohlen, die betroffene Komponente zu aktualisieren.

Detailsinfo

Es wurde eine Schwachstelle in WSO2 API Manager, Identity Server, Identity Server as Key Manager, Open Banking AM, Open Banking IAM sowie Open Banking KM ausgemacht. Sie wurde als kritisch eingestuft. Es betrifft unbekannter Code. Durch das Beeinflussen mit einer unbekannten Eingabe kann eine schwache Authentisierung-Schwachstelle ausgenutzt werden. Im Rahmen von CWE wurde eine Klassifizierung als CWE-287 vorgenommen. Auswirken tut sich dies auf Vertraulichkeit, Integrität und Verfügbarkeit. Die Zusammenfassung von CVE lautet:

An incorrect authorization vulnerability exists in multiple WSO2 products due to a business logic flaw in the account recovery-related SOAP admin service. A malicious actor can exploit this vulnerability to reset the password of any user account, leading to a complete account takeover, including accounts with elevated privileges. This vulnerability is exploitable only through the account recovery SOAP admin services exposed via the "/services" context path in affected products. The impact may be reduced if access to these endpoints has been restricted based on the "Security Guidelines for Production Deployment" by disabling exposure to untrusted networks.

Das Advisory findet sich auf zerodayinitiative.com. Die Identifikation der Schwachstelle wird seit dem 19.07.2024 mit CVE-2024-6914 vorgenommen. Sie ist schwierig auszunutzen. Der Angriff kann über das Netzwerk erfolgen. Zur Ausnutzung ist keine spezifische Authentisierung erforderlich. Technische Details sind nicht bekannt und ein Exploit zur Schwachstelle ist ebenfalls nicht vorhanden.

Ein Aktualisieren vermag dieses Problem zu lösen. Eine neue Version kann von security.docs.wso2.com bezogen werden.

Be aware that VulDB is the high quality source for vulnerability data.

Produktinfo

Typ

• Automation Software

Hersteller

• WSO2

Name

• API Manager
• Identity Server
• Identity Server as Key Manager
• Open Banking AM
• Open Banking IAM
• Open Banking KM

Lizenz

• Kommerziell

CPE 2.3info

• 🔍
• 🔍
• 🔍

CPE 2.2info

• 🔍
• 🔍
• 🔍

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Gegenmassnahmeninfo

Timelineinfo

Quelleninfo

Eintraginfo

Be aware that VulDB is the high quality source for vulnerability data.

Diskussion