中 4.9

The refresh token grant type in WSO2 products fails to re-validate account status before issuing...

CVE-2024-9517 SecPulse初出 11月2日 20:30

影響パッケージ

種類	パッケージ	影響を受ける版	修正版
WSO2	WSO2 API Manager	3.1.0 以上 3.1.0.308 未満 3.2.0 以上 3.2.0.429 未満 3.2.1 以上 3.2.1.49 未満 4.0.0 以上 4.0.0.315 未満 4.1.0 以上 4.1.0.214 未満 4.2.0 以上 4.2.0.149 未満ほか 3 件	3.1.0.308 3.2.0.429 3.2.1.49 4.0.0.315 4.1.0.214 4.2.0.149
WSO2	WSO2 Universal Gateway	4.5.0 以上 4.5.0.9 未満	4.5.0.9
WSO2	WSO2 Traffic Manager	4.5.0 以上 4.5.0.9 未満	4.5.0.9
WSO2	WSO2 API Control Plane	4.5.0 以上 4.5.0.10 未満	4.5.0.10
WSO2	WSO2 Identity Server as Key Manager	5.10.0 以上 5.10.0.324 未満	5.10.0.324
WSO2	WSO2 Identity Server	5.10.0 以上 5.10.0.331 未満 5.11.0 以上 5.11.0.376 未満 6.0.0 以上 6.0.0.219 未満 6.1.0 以上 6.1.0.205 未満 7.0.0 以上 7.0.0.73 未満	5.10.0.331 5.11.0.376 6.0.0.219 6.1.0.205 7.0.0.73
WSO2	WSO2 Open Banking AM	2.0.0 以上 2.0.0.357 未満	2.0.0.357
WSO2	WSO2 Open Banking IAM	2.0.0 以上 2.0.0.377 未満	2.0.0.377
WSO2	WSO2 Carbon OAuth	6.4.2 以上 6.4.2.148 未満 6.4.111 以上 6.4.111.122 未満 6.4.176 以上 6.4.176.26 未満 6.4.180 以上 6.4.180.10 未満 6.8.0 以上 6.8.0.44 未満 6.9.6 以上 6.9.6.21 未満ほか 5 件	6.4.2.148 6.4.111.122 6.4.176.26 6.4.180.10 6.8.0.44 6.9.6.21

原文の説明取得元が公開している説明をそのまま載せています (多くは英語)。

The refresh token grant type in WSO2 products fails to re-validate account status before issuing new access tokens. This weakness allows an attacker to obtain valid access tokens for user accounts even after they have been blocked by the user store, bypassing account lockout mechanisms.

This vulnerability can lead to unauthorized access to user accounts and their associated resources. Attackers can leverage this to perform actions on behalf of blocked users, potentially leading to privilege escalation or data exfiltration depending on the permissions of the compromised account.

出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory

影響パッケージ

参照URL