CVE-2024-5617 Evasión del bloqueo de cuenta por sincronización de user stores en productos WSO2
La función de bloqueo de cuenta no aplica correctamente el bloqueo sobre el user store primario cuando existen usuarios con el mismo nombre en los user stores primario y secundario, ya que la condición de bloqueo solo se aplica al secundario. Esto permite ataques de fuerza bruta contra la cuenta del user store primario y un posible acceso no autorizado a información o cuentas sensibles.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 12
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WSO2 WSO2 API Manager
desde 4.0.0 hasta antes de 4.0.0.298desde 4.2.0 hasta antes de 4.2.0.95desde 4.3.0 hasta antes de 4.3.0.13
WSO2 WSO2 Identity Server
desde 5.11.0 hasta antes de 5.11.0.348desde 6.0.0 hasta antes de 6.0.0.194desde 6.1.0 hasta antes de 6.1.0.162desde 7.0.0 hasta antes de 7.0.0.33
WSO2 WSO2 Carbon Identity Management
desde 5.18.187 hasta antes de 5.18.187.259desde 5.23.8 hasta antes de 5.23.8.180desde 5.24.8 hasta antes de 5.24.8.5desde 5.25.92 hasta antes de 5.25.92.84desde 5.25.705 hasta antes de 5.25.705.5desde 7.0.78 hasta antes de 7.0.78.19
WSO2 WSO2 Carbon User Manager Kernel
desde 4.6.1 hasta antes de 4.6.1.114desde 4.7.1 hasta antes de 4.7.1.53desde 4.8.1 hasta antes de 4.8.1.16desde 4.9.0 hasta antes de 4.9.0.58desde 4.9.26 hasta antes de 4.9.26.7desde 4.10.9 hasta antes de 4.10.9.17
Qué hacer
- Verificá si usás WSO2 API Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.8 MEDIA
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The account lock feature fails to correctly enforce account lockouts on the primary user store when users with identical usernames exist in both primary and secondary user stores. This occurs because the lock condition is only applied to the secondary user store account in such scenarios, allowing continued authentication attempts against the primary user store account.
This functional flaw enables brute force attacks. By systematically attempting different passwords against the primary user store account, an attacker can potentially gain unauthorized access to sensitive information or accounts, as the intended account lockout mechanism does not prevent repeated login attempts.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.