CVE-2024-7478 Enumeración de nombres de usuario en productos WSO2 con almacén de usuarios externo

Qué es CVE-2024-7478

Cuando un producto WSO2 usa un almacén de usuarios externo, el sistema no oculta adecuadamente la existencia o validez de los nombres de usuario durante los intentos de autenticación. Esto permite a un atacante consultar repetidamente el mecanismo de autenticación con distintos nombres para enumerar los válidos, lo que facilita ataques de fuerza bruta dirigidos, ingeniería social y filtración de información.

Productos y versiones afectadas

• WSO2 WSO2 API Manager

  • desde 3.1.0 hasta antes de 3.1.0.310
  • desde 3.2.0 hasta antes de 3.2.0.401
  • desde 3.2.1 hasta antes de 3.2.1.26
  • desde 4.0.0 hasta antes de 4.0.0.318
  • desde 4.1.0 hasta antes de 4.1.0.180
  • desde 4.2.0 hasta antes de 4.2.0.119
  • desde 4.3.0 hasta antes de 4.3.0.30

• WSO2 WSO2 Identity Server as Key Manager

  • desde 5.10.0 hasta antes de 5.10.0.320

• WSO2 WSO2 Identity Server

  • desde 5.10.0 hasta antes de 5.10.0.326
  • desde 6.0.0 hasta antes de 6.0.0.214
  • desde 6.1.0 hasta antes de 6.1.0.198
  • desde 7.0.0 hasta antes de 7.0.0.67

• WSO2 WSO2 Open Banking IAM

  • desde 2.0.0 hasta antes de 2.0.0.371

• WSO2 WSO2 Open Banking AM

  • desde 2.0.0 hasta antes de 2.0.0.351

• WSO2 WSO2 Carborn Identity Handler

  • desde 1.4.0 hasta antes de 1.4.0.15
  • desde 1.4.0 hasta antes de 1.4.0.16
  • desde 1.4.11 hasta antes de 1.4.11.14
  • desde 1.4.37 hasta antes de 1.4.37.1
  • desde 1.6.1 hasta antes de 1.6.1.5
  • desde 1.7.1 hasta antes de 1.7.1.1
  • desde 1.8.6 hasta antes de 1.8.6.5
  • desde 1.8.14 hasta antes de 1.8.14.1
  • desde 1.9.2 hasta antes de 1.9.2.4

Qué hacer

1. Verificá si usás WSO2 API Manager y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.8 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Cambiado

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

When a WSO2 product is configured to use an external user store, the system fails to adequately obscure the existence or validity of usernames during authentication attempts. This oversight allows an attacker to repeatedly query the authentication mechanism with different username guesses, enabling the enumeration of valid usernames present in the external user store. The discovery of valid usernames can increase the risk of targeted brute-force attacks, social engineering, and information leakage. Attackers can leverage this information to craft more convincing phishing campaigns or other social engineering tactics to trick users into revealing sensitive data. The presence of username enumeration could also negatively impact an organization's reputation, leading to loss of customer trust, regulatory non-compliance, and potential legal and financial repercussions.

Referencias

• security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-202…VENDOR-ADVISORY

Historial de la alerta

1. 21 OCT · 13:05VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.