WSO2 Identity Server 中不当的令牌失效允许在帐户锁定后访问

CVE-2025-12624 在 WSO2 Identity Server 中允许在用户帐户被锁定时，活动访问令牌未被撤销或失效。这意味着即使帐户被锁定后，先前签发的有效访问令牌仍然可以使用，从而允许被锁定的用户帐户继续访问受保护的资源。这种撤销执行失败会造成重大的安全漏洞，因为访问控制策略被绕过。攻击者可以利用此漏洞来维持对敏感系统和数据的访问，即使采取了锁定用户的措施。

Organizations heavily reliant on WSO2 Identity Server for authentication and authorization are at risk. This includes those with legacy configurations or deployments where access tokens have long expiration times. Shared hosting environments utilizing WSO2 Identity Server are also particularly vulnerable, as compromised accounts on one instance could potentially impact other tenants.

• java / server:

# Check for WSO2 Identity Server version
java -version
# Monitor logs for unusual access token activity related to locked accounts
grep -i 'access token' /path/to/wso2/identity-server/logs/*.log

• generic web:

# Check for exposed token endpoints
curl -I https://your-wso2-identity-server/token

1. 2026-04-16Disclosure

   disclosure

1. 已保留2025-11-03
2. 发布日期2026-04-16
3. EPSS 更新日期2026-04-23

针对 CVE-2025-12624 的主要缓解措施是将 WSO2 Identity Server 升级到 5.2.0.35 或更高版本。此版本包含漏洞修复，确保在用户帐户被锁定时，访问令牌被正确撤销或失效。在应用升级时，建议撤销所有现有的访问令牌，以最大限度地减少未经授权访问的风险。此外，请审查并加强帐户锁定策略，以确保其得到有效执行。持续监控审计日志可以帮助检测可疑活动。