WSO2 の複数製品の JSON Web トークン認証のバイパス

critical Web App Scanning プラグイン ID 115687

Language:

概要

説明

WSO2 API Managerバージョン4.1.04.6.0、WSO2 APIコントロールプレーンバージョン4.5.0および4.6.0、WSO2 Traffic Managerバージョン4.5.0および4.6.0、WSO2 Universal Gatewayバージョン4.5.0および4.6.0には、認証バイパスの脆弱性があります。管理 REST API で使用される JSON Web トークン署名検証は、トークンが RSA 以外のアルゴリズムで署名されると、エラーを引き起こし、OAuth 認証インターセプターはリクエストを拒否せずにこのエラーを破棄します。リクエストは認証もスコープ検証も行われずに処理されます。このため、認証されていないリモートの攻撃者が、Resident Key Manager 発行者が運ぶトークンを偽造し、 HS256 や任意の署名などのサポートされないアルゴリズムで署名し、Admin および Publisher REST API を呼び出し、管理アカウントのセキュリティ侵害やアカウントの完全な乗っ取りを引き起こす可能性があります。

ソリューション

WSO2 アドバイザリに従って、修正済みの更新レベル(またはそれ以降)を適用してください:WSO2 API Manager 4.1.0 更新レベル 257、 4.2.0 更新レベル 197、 4.3.0 更新レベル 108、 4.4.0 更新レベル 72、 4.5.0 更新レベル 57、 4.6.0 更新レベル 21、WSO2 API Control Plane 4.5.0 更新レベル 58、 4.6.0 更新レベル 22、WSO2 Traffic Manager 4.5.0 更新レベル 56、 4.6.0 更新レベル 21、WSO2 Universal Gateway 4.5.0 更新レベル 57、 4.6.0 更新レベル 21。オープンソースのユーザーは、公開されている修正を適用するか、影響を受けない最新バージョンに移行する必要があります。