प्लेटफ़ॉर्म
java
घटक
wso2-api-manager
में ठीक किया गया
3.2.0.397
3.2.0.397
3.2.1.27
4.0.0.310
4.0.0.319
4.1.0.171
4.2.0.127
4.3.0.39
WSO2 API Manager में एक Arbitrary File Access भेद्यता पाई गई है, जहाँ XML इनपुट को बिना बाहरी इकाई समाधान को अक्षम किए स्वीकार किया जाता है। इस भेद्यता का उपयोग करके, एक हमलावर उत्पाद के फ़ाइल सिस्टम से गोपनीय फ़ाइलों को पढ़ सकता है या HTTP GET अनुरोधों के माध्यम से सीमित HTTP संसाधनों तक पहुँच सकता है। यह भेद्यता WSO2 API Manager के 0.0.0 से 4.3.0.39 तक के संस्करणों को प्रभावित करती है। 4.3.0.39 संस्करण में इस समस्या का समाधान किया गया है।
WSO2 API Manager में CVE-2024-8010 दुर्भावनापूर्ण एक्टर्स को उत्पाद के फ़ाइल सिस्टम से गोपनीय फ़ाइलों को पढ़ने या सीमित HTTP संसाधनों तक पहुंचने की अनुमति देता है। यह एक तैयार XML पेलोड को प्रकाशक के माध्यम से सबमिट करके, बाहरी इकाई समाधान को अक्षम करने में विफलता का लाभ उठाकर प्राप्त किया जाता है। यह भेद्यता उचित सत्यापन के बिना XML इनपुट स्वीकार करने से उत्पन्न होती है, जो बाहरी इकाई संदर्भों के हेरफेर को सक्षम करती है। प्रभाव महत्वपूर्ण है और सर्वर पर संग्रहीत संवेदनशील डेटा को खतरे में डाल सकता है।
एक हमलावर WSO2 API Manager के API प्रकाशक को एक दुर्भावनापूर्ण XML पेलोड भेजकर इस भेद्यता का फायदा उठा सकता है। इस XML में सर्वर के फ़ाइल सिस्टम पर गोपनीय फ़ाइलों या पहुंच योग्य HTTP संसाधनों की ओर इशारा करते हुए बाहरी इकाई संदर्भ शामिल हैं। इस XML को संसाधित करते समय, सिस्टम इन बाहरी संस्थाओं को हल करने का प्रयास करेगा, जिससे अनधिकृत फ़ाइल पढ़ना या संसाधन पहुंच हो सकती है। सफल शोषण के लिए हमलावर को API प्रकाशक को XML भेजने में सक्षम होने की आवश्यकता होती है, जो पर्याप्त पहुंच नियंत्रण लागू नहीं किए जाने पर संभव हो सकता है।
Organizations deploying WSO2 API Manager versions 0.0.0 through 4.3.0.39 are at risk. This includes those using the API Manager for managing and securing APIs, particularly those handling sensitive data or integrating with critical backend systems. Shared hosting environments utilizing WSO2 API Manager are also at increased risk due to potential cross-tenant vulnerabilities.
• java / server:
find /opt/wso2/apim/ -name 'xml-parser.xml' -print0 | xargs -0 grep -i 'externalEntityResolver'• generic web:
curl -I 'http://<api-manager-host>/publisher/xml-endpoint' # Check for XML response with external entity referencesdisclosure
एक्सप्लॉइट स्थिति
EPSS
0.01% (0% शतमक)
CISA SSVC
CVSS वेक्टर
अनुशंसित समाधान WSO2 API Manager को संस्करण 4.3.0.39 या उच्चतर में अपग्रेड करना है। इस संस्करण में भेद्यता को कम करने के लिए आवश्यक फिक्स शामिल हैं। अपग्रेड करते समय, API प्रकाशक तक पहुंच को प्रतिबंधित करने और सभी XML इनपुट को सख्ती से मान्य करने जैसे अतिरिक्त सुरक्षा उपायों पर विचार करें। प्लेटफ़ॉर्म की सुरक्षा बनाए रखने के लिए नियमित रूप से सुरक्षा पैच लागू करना एक मौलिक अभ्यास है। इसके अलावा, भविष्य में समान भेद्यताओं को रोकने के लिए API सुरक्षा नीतियों की समीक्षा और मजबूत करें।
Actualice WSO2 API Manager a la versión 3.2.0.397 o superior, 3.2.1.27 o superior, 4.0.0.310 o superior, 4.0.0.319 o superior, 4.1.0.171 o superior, 4.2.0.127 o superior, o 4.3.0.39 o superior para mitigar la vulnerabilidad de inyección de entidades externas XML. Esta actualización deshabilita la resolución de entidades externas en el componente Publisher, previniendo la lectura de archivos arbitrarios.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
XML में बाहरी इकाई एक बाहरी संसाधन (फ़ाइल या URL) का संदर्भ है जो XML दस्तावेज़ में शामिल है। बाहरी इकाई समाधान XML को अन्य स्रोतों से सामग्री शामिल करने की अनुमति देता है।
यदि इसे ठीक से नियंत्रित नहीं किया जाता है, तो बाहरी इकाई समाधान खतरनाक हो सकता है, क्योंकि यह हमलावर को XML दस्तावेज़ में मनमाना सामग्री शामिल करने की अनुमति देता है, जिससे दुर्भावनापूर्ण कोड का निष्पादन या फ़ाइलों को पढ़ना हो सकता है।
यदि आप तुरंत अपग्रेड नहीं कर सकते हैं, तो API प्रकाशक तक पहुंच को प्रतिबंधित करने और सभी XML इनपुट को सख्ती से मान्य करने जैसे शमन उपायों को लागू करें।
सुरक्षा विश्लेषण उपकरण CVE-2024-8010 का पता लगा सकते हैं। अधिक जानकारी के लिए WSO2 दस्तावेज़ देखें।
सुरक्षित विकास प्रथाओं को लागू करें, जैसे इनपुट सत्यापन, डेटा सैनिटाइजेशन और नियमित रूप से सुरक्षा पैच लागू करना।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी pom.xml फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।