CVE-2024-2323 Fuerza bruta de contraseñas en múltiples productos WSO2

Qué es CVE-2024-2323

RemoteUserStoreManagerService no valida suficientemente los intentos de cambio de contraseña cuando está habilitada la validación de historial de contraseñas. Un atacante puede intentar adivinar repetidamente la contraseña de una cuenta sin restricciones adecuadas y descubrirla por fuerza bruta, lo que lleva a suplantación de cuenta; la probabilidad aumenta con contraseñas simples.

Productos y versiones afectadas

• WSO2 WSO2 Enterprise Integrator

  • desde 6.6.0 hasta antes de 6.6.0.204

• WSO2 WSO2 Identity Server

  • desde 5.10.0 hasta antes de 5.10.0.286
  • desde 5.11.0 hasta antes de 5.11.0.344
  • desde 6.0.0 hasta antes de 6.0.0.188
  • desde 6.1.0 hasta antes de 6.1.0.150
  • desde 7.0.0 hasta antes de 7.0.0.35

• WSO2 WSO2 API Manager

  • desde 3.1.0 hasta antes de 3.1.0.268
  • desde 3.2.0 hasta antes de 3.2.0.354

• WSO2 WSO2 Open Banking AM

  • desde 2.0.0 hasta antes de 2.0.0.315

• WSO2 WSO2 Identity Server as Key Manager

  • desde 5.10.0 hasta antes de 5.10.0.283

• WSO2 WSO2 Open Banking IAM

  • desde 2.0.0 hasta antes de 2.0.0.335

• WSO2 WSO2 Carbon User Manager Kernel

  • desde 4.5.0 hasta antes de 4.5.0.4
  • desde 4.5.3 hasta antes de 4.5.3.34
  • desde 4.6.0 hasta antes de 4.6.0.137
  • desde 4.6.1 hasta antes de 4.6.1.111
  • desde 4.7.1 hasta antes de 4.7.1.51
  • desde 4.9.0 hasta antes de 4.9.0.54
  • desde 4.10.9 hasta antes de 4.10.9.20

Qué hacer

1. Verificá si usás WSO2 Enterprise Integrator y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 4.8 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The RemoteUserStoreManagerService does not sufficiently validate password change attempts when the password history validation feature is enabled. This oversight allows an attacker to repeatedly attempt password guesses for a user account without being adequately restricted. Exploiting this vulnerability enables an attacker to discover a user's password through brute force, leading to account impersonation. The success rate of such an attack is influenced by the complexity of the targeted user's password, with simpler passwords increasing the likelihood of compromise.

Referencias

• security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…VENDOR-ADVISORY

Historial de la alerta

1. 20 OCT · 06:08VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.