WSO2 Identity Serverにクライアント認証情報の付与で権限昇格される脆弱性
Summary
WSO2 Identity Serverで、authorize_all_scopes設定を有効にしていると、クライアント認証情報グラント種別を使うアプリケーションが、明示的な許可なしにすべてのAPIスコープを取得できる脆弱性です。管理操作や機密データへのアクセスにつながるおそれがあります。影響を受けるのは、Identity Serverの7.0.0.125未満と7.1.0.32未満、Identity Application Management Componentの7.0.78.137未満と7.8.23.49未満です。修正版が公開されているので、該当する版を使っている場合は修正版へ更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WSO2 Identity Serverで、authorize_all_scopes設定を有効にしていると、クライアント認証情報グラント種別を使うアプリケーションが、明示的な許可なしにすべてのAPIスコープを取得できる脆弱性です。管理操作や機密データへのアクセスにつながるおそれがあります。影響を受けるのは、Identity Serverの7.0.0.125未満と7.1.0.32未満、Identity Application Management Componentの7.0.78.137未満と7.8.23.49未満です。修正版が公開されているので、該当する版を使っている場合は修正版へ更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| WSO2 | WSO2 Identity Server |
≥ 7.0.0, < 7.0.0.125 ≥ 7.1.0, < 7.1.0.32 |
7.0.0.125 7.1.0.32 |
| WSO2 | WSO2 Identity Application Management Component |
≥ 7.0.78, < 7.0.78.137 ≥ 7.8.23, < 7.8.23.49 |
7.0.78.137 7.8.23.49 |
Original description The description as published by the source.
The system fails to properly enforce scope authorization when the authorize_all_scopes configuration is enabled. This allows applications using the client credentials grant type to obtain all API scopes, including sensitive internal and console scopes, without requiring explicit authorization, bypassing intended access controls.
Exploitation of this vulnerability can lead to privilege escalation, enabling unprivileged clients to perform unauthorized administrative actions, access confidential organizational data, and potentially achieve full account takeover in deployments where the authorize_all_scopes configuration deviates from its default disabled state.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security.docs.wso2.com
- web nvd.nist.gov
- web security.docs.wso2.com
- web github.com