CVE-2024-2372 Redirección abierta en múltiples productos WSO2 por falta de validación de entrada
Los componentes afectados aceptan entrada del usuario para construir URLs de redirección sin aplicar las validaciones esperadas. Un atacante puede crear un enlace que redirige a los usuarios a un dominio externo arbitrario y usarlo en ataques de phishing para obtener información sensible.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WSO2 WSO2 Open Banking AM
desde 2.0.0 hasta antes de 2.0.0.383
WSO2 WSO2 API Manager
desde 3.0.0 hasta antes de 3.0.0.160desde 3.1.0 hasta antes de 3.1.0.335desde 3.2.0 hasta antes de 3.2.0.432desde 3.2.1 hasta antes de 3.2.1.51desde 4.0.0 hasta antes de 4.0.0.310desde 4.1.0 hasta antes de 4.1.0.208desde 4.2.0 hasta antes de 4.2.0.146desde 4.3.0 hasta antes de 4.3.0.59
WSO2 WSO2 Identity Server as Key Manager
desde 5.9.0 hasta antes de 5.9.0.163desde 5.10.0 hasta antes de 5.10.0.355
WSO2 WSO2 Open Banking IAM
desde 2.0.0 hasta antes de 2.0.0.404
WSO2 WSO2 Enterprise Integrator
desde 6.6.0 hasta antes de 6.6.0.212
WSO2 WSO2 Identity Server
desde 5.9.0 hasta antes de 5.9.0.154desde 5.10.0 hasta antes de 5.10.0.291desde 5.11.0 hasta antes de 5.11.0.371desde 6.0.0 hasta antes de 6.0.0.178desde 6.1.0 hasta antes de 6.1.0.134
WSO2 WSO2 Carbon Registry Kernel
desde 4.5.1 hasta antes de 4.5.1.36desde 4.5.3 hasta antes de 4.5.3.36desde 4.6.0 hasta antes de 4.6.0.139desde 4.6.0 hasta antes de 4.6.0.1544desde 4.6.1 hasta antes de 4.6.1.105desde 4.6.2 hasta antes de 4.6.2.321desde 4.6.3 hasta antes de 4.6.3.28desde 4.6.4 hasta antes de 4.6.4.11desde 4.7.1 hasta antes de 4.7.1.47desde 4.8.1 hasta antes de 4.8.1.27desde 4.8.1 hasta antes de 4.8.1.31desde 4.9.0 hasta antes de 4.9.0.46desde 4.9.26 hasta antes de 4.9.26.18
Qué hacer
- Verificá si usás WSO2 Open Banking AM y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The affected components accept user-supplied input for constructing redirection URLs without enforcing expected validation constraints. This allows an attacker to provide a crafted URL that can redirect users to an arbitrary external domain.
By leveraging this open redirection vulnerability, an attacker can craft a malicious link that, when clicked by a user, redirects them to an attacker-controlled page. This can be used in conjunction with social engineering techniques to execute phishing attacks, aiming to obtain sensitive information or cause other harm.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.