WSO2 Identity Server 中不当的令牌失效允许在帐户锁定后访问
平台
java
组件
wso2-identity-server
修复版本
5.2.0.35
5.2.0.35
CVE-2025-12624 是 WSO2 Identity Server 中的一个安全漏洞，该漏洞源于用户帐户锁定时未撤销访问令牌。这可能导致已锁定用户继续访问受保护的资源。受影响的版本包括 WSO2 Identity Server 0.0.0 到 5.2.0.35。
检测此 CVE 是否影响你的项目
上传你的 pom.xml 文件，立即知道是否受影响。
影响与攻击场景
CVE-2025-12624 在 WSO2 Identity Server 中允许在用户帐户被锁定时，活动访问令牌未被撤销或失效。这意味着即使帐户被锁定后，先前签发的有效访问令牌仍然可以使用，从而允许被锁定的用户帐户继续访问受保护的资源。这种撤销执行失败会造成重大的安全漏洞，因为访问控制策略被绕过。攻击者可以利用此漏洞来维持对敏感系统和数据的访问，即使采取了锁定用户的措施。
利用背景
如果攻击者拥有在用户帐户被锁定之前签发的有效访问令牌，则可以利用此漏洞。帐户锁定后，攻击者可以继续使用这些令牌访问受保护的资源，从而绕过访问控制策略。利用的可能性取决于用户帐户被锁定的频率和访问令牌的有效期限。在访问令牌具有较长寿命或用户帐户很少被锁定的环境中，利用的可能性更高。
哪些人处于风险中翻译中…
Organizations heavily reliant on WSO2 Identity Server for authentication and authorization are at risk. This includes those with legacy configurations or deployments where access tokens have long expiration times. Shared hosting environments utilizing WSO2 Identity Server are also particularly vulnerable, as compromised accounts on one instance could potentially impact other tenants.
检测步骤翻译中…
• java / server:
# Check for WSO2 Identity Server version
java -version
# Monitor logs for unusual access token activity related to locked accounts
grep -i 'access token' /path/to/wso2/identity-server/logs/*.log• generic web:
# Check for exposed token endpoints
curl -I https://your-wso2-identity-server/token攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.01% (2% 百分位)
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 高 — 需要竞态条件、非默认配置或特定情况。难以可靠利用。
- Privileges Required
- 低 — 任何有效用户账户均可。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 已改变 — 攻击可以超出脆弱组件，影响其他系统。
- Confidentiality
- 低 — 可访问部分数据。
- Integrity
- 低 — 攻击者可修改部分数据，影响有限。
- Availability
- 低 — 部分或间歇性拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- EPSS 更新日期
缓解措施和替代方案
针对 CVE-2025-12624 的主要缓解措施是将 WSO2 Identity Server 升级到 5.2.0.35 或更高版本。此版本包含漏洞修复，确保在用户帐户被锁定时，访问令牌被正确撤销或失效。在应用升级时，建议撤销所有现有的访问令牌，以最大限度地减少未经授权访问的风险。此外，请审查并加强帐户锁定策略，以确保其得到有效执行。持续监控审计日志可以帮助检测可疑活动。
修复方法翻译中…
Actualice WSO2 Identity Server a la versión 5.2.0.35 o superior para mitigar la vulnerabilidad. Esta actualización corrige el problema de invalidación incorrecta del token, asegurando que las cuentas bloqueadas no puedan acceder a los recursos protegidos a través de tokens expirados.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
CVE-2025-12624 是什么 — WSO2 Identity Server 中的漏洞？
WSO2 Identity Server 是一个身份和访问管理 (IAM) 平台，提供身份验证、授权和用户管理。
WSO2 Identity Server 中的 CVE-2025-12624 是否会影响我？
检查您使用的 WSO2 Identity Server 版本。如果您使用的是 5.2.0.35 之前的版本，则会受到影响。
如何修复 WSO2 Identity Server 中的 CVE-2025-12624？
在您无法立即升级的情况下，请考虑撤销现有的访问令牌并加强帐户锁定策略。
CVE-2025-12624 是否正在被积极利用？
是的，此漏洞会影响使用 5.2.0.35 之前的版本的 WSO2 Identity Server 部署。
在哪里可以找到 WSO2 Identity Server 关于 CVE-2025-12624 的官方安全通告？
您可以在 WSO2 网站和 NIST NVD 等漏洞数据库中找到有关此漏洞的更多信息。