WSO2 API Manager 토큰 경로로 관리자 권한 탈취 가능
웹 서비스 관리 프로그램에 가입한 사용자가 관리자 권한을 뺏을 수 있습니다!
요약
WSO2 Identity Server를 데이터베이스 공유 방식의 Resident Key Manager로 쓰는 환경에서, 직접 가입한 사용자가 토큰 엔드포인트로 토큰을 받아 API Manager의 시스템 REST API에 접근할 수 있습니다. 이 경우 관리자 계정을 장악당할 수 있으며, 4.1.0부터 4.6.0까지의 API Manager와 API Control Plane 4.5.0, 4.6.0이 해당합니다.
해당 조건
- WSO2 Identity Server를 데이터베이스 공유 방식의 Resident Key Manager로 사용
- 사용자가 직접 가입할 수 있음
대처법
WSO2 Identity Server와 WSO2 API Manager를 최신 U2 버전으로 업데이트하세요. WSO2 IS 커넥터도 최신 버전으로 교체하고 Identity Server를 재시작하세요. 자세한 절차는 공지의 해결 방법을 확인하세요.
대상 제품과 운영체제
CVE 번호
원문 링크
- 보안 공지: security.docs.wso2.com (새 탭에서 열림)
- CVE 기록: cve.org (새 탭에서 열림)
시각
처음 게시
처음 확인