CVE-2024-9517 Renovación indebida de tokens en refresh token grant de productos WSO2 permite acceso a cuentas bloqueadas
El tipo de concesión refresh token de productos WSO2 no vuelve a validar el estado de la cuenta antes de emitir nuevos tokens de acceso. Un atacante puede obtener tokens válidos para cuentas bloqueadas por el user store y eludir el bloqueo, accediendo a las cuentas y sus recursos en nombre de usuarios bloqueados.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 7
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
WSO2 WSO2 API Manager
desde 3.1.0 hasta antes de 3.1.0.308desde 3.2.0 hasta antes de 3.2.0.429desde 3.2.1 hasta antes de 3.2.1.49desde 4.0.0 hasta antes de 4.0.0.315desde 4.1.0 hasta antes de 4.1.0.214desde 4.2.0 hasta antes de 4.2.0.149desde 4.3.0 hasta antes de 4.3.0.62desde 4.4.0 hasta antes de 4.4.0.25desde 4.5.0 hasta antes de 4.5.0.9
WSO2 WSO2 Universal Gateway
desde 4.5.0 hasta antes de 4.5.0.9
WSO2 WSO2 Traffic Manager
desde 4.5.0 hasta antes de 4.5.0.9
WSO2 WSO2 API Control Plane
desde 4.5.0 hasta antes de 4.5.0.10
WSO2 WSO2 Identity Server as Key Manager
desde 5.10.0 hasta antes de 5.10.0.324
WSO2 WSO2 Identity Server
desde 5.10.0 hasta antes de 5.10.0.331desde 5.11.0 hasta antes de 5.11.0.376desde 6.0.0 hasta antes de 6.0.0.219desde 6.1.0 hasta antes de 6.1.0.205desde 7.0.0 hasta antes de 7.0.0.73
WSO2 WSO2 Open Banking AM
desde 2.0.0 hasta antes de 2.0.0.357
WSO2 WSO2 Open Banking IAM
desde 2.0.0 hasta antes de 2.0.0.377
WSO2 WSO2 Carbon OAuth
desde 6.4.2 hasta antes de 6.4.2.148desde 6.4.111 hasta antes de 6.4.111.122desde 6.4.176 hasta antes de 6.4.176.26desde 6.4.180 hasta antes de 6.4.180.10desde 6.8.0 hasta antes de 6.8.0.44desde 6.9.6 hasta antes de 6.9.6.21desde 6.11.21 hasta antes de 6.11.21.64desde 6.13.16 hasta antes de 6.13.16.13desde 6.13.19 hasta antes de 6.13.19.7desde 6.13.27 hasta antes de 6.13.27.1desde 7.0.26 hasta antes de 7.0.26.37
Qué hacer
- Verificá si usás WSO2 API Manager y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.9 MEDIA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The refresh token grant type in WSO2 products fails to re-validate account status before issuing new access tokens. This weakness allows an attacker to obtain valid access tokens for user accounts even after they have been blocked by the user store, bypassing account lockout mechanisms.
This vulnerability can lead to unauthorized access to user accounts and their associated resources. Attackers can leverage this to perform actions on behalf of blocked users, potentially leading to privilege escalation or data exfiltration depending on the permissions of the compromised account.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.