CVE-2025-9312 in API Manager
Tóm tắt
Bởi VulDB • 11/06/2026
Một lỗ hổng do thiếu cơ chế thực thi xác thực tồn tại trong triển khai mutual TLS (mTLS) được sử dụng bởi các System REST APIs và dịch vụ SOAP trên nhiều sản phẩm của WSO2. Do việc kiểm tra không đúng cách đối với xác thực dựa trên chứng chỉ khách hàng trong một số cấu hình mặc định, các thành phần bị ảnh hưởng có thể cho phép các yêu cầu chưa được xác thực ngay cả khi mTLS đã được bật. Điều kiện này xảy ra khi dựa vào cài đặt mTLS mặc định cho System REST APIs hoặc khi bộ xác thực mTLS được kích hoạt cho các dịch vụ SOAP, khiến những giao diện này chấp nhận các yêu cầu mà không áp dụng thêm cơ chế xác thực nào khác.
Việc khai thác thành công cho phép một tác nhân độc hại có quyền truy cập mạng vào các điểm cuối bị ảnh hưởng để chiếm đặc quyền quản trị viên và thực hiện các thao tác trái phép. Lỗ hổng chỉ có thể được khai thác khi các luồng mTLS liên quan đang được bật và khả dụng trong triển khai cụ thể đó. Các cơ chế xác thực dựa trên chứng chỉ khác như Mutual TLS OAuth client authentication (xác thực khách hàng OAuth qua mutual TLS) và X.509 login flows (luồng đăng nhập X.509) không bị ảnh hưởng, và các API được phục vụ thông qua API Gateway của WSO2 API Manager vẫn hoạt động bình thường mà không chịu tác động từ lỗ hổng này.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.