PT-2022-11651 · Wso2 · Wso2 Is As Key Manager+2
Hakan Bayir
·
Publicado
2022-05-11
·
Atualizado
2024-01-11
·
CVE-2021-42646
CVSS v3.1
9.1
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H |
Nome do software vulnerável e versões afetadas
WSO2 API Manager, versões 2.6.0 a 4.0.0
WSO2 IS as Key Manager, versões 5.7.0 a 5.10.0
WSO2 Identity Server, versões 5.7.0 a 5.11.0
Descrição
A vulnerabilidade permite que invasores obtenham acesso de leitura a informações confidenciais ou causem uma negação de serviço por meio de solicitações GET maliciosas. Isso se deve a uma vulnerabilidade de Entidade Externa XML (XXE) no recurso de criação de provedores de serviço baseados em arquivo do Console de Gerenciamento.
Recomendações
Para o WSO2 API Manager, versões 2.6.0 a 4.0.0, atualize para uma versão que inclua uma correção para este problema.
Para as versões 5.7.0 a 5.10.0 do WSO2 IS as Key Manager, atualize para uma versão que inclua uma correção para este problema.
Para as versões 5.7.0 a 5.11.0 do WSO2 Identity Server, atualize para uma versão que inclua uma correção para este problema.
Como solução alternativa temporária, considere restringir o acesso ao Console de Gerenciamento para minimizar o risco de exploração.
Correção
XXE
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Wso2 Api Manager
Wso2 Is As Key Manager
Wso2 Identity Server