WSO2 API Managerに権限昇格の脆弱性、修正版あり
Summary
WSO2 API ManagerでIdentity ServerをResident Key Managerにしている環境で、セルフ登録したユーザーがシステム用のAPIを使えてしまう脆弱性です。該当する構成か確認し、IS・APIM・コネクターを更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
WSO2 API ManagerでIdentity ServerをResident Key Managerにしている環境で、セルフ登録したユーザーがシステム用のAPIを使えてしまう脆弱性です。該当する構成か確認し、IS・APIM・コネクターを更新してください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| WSO2 | WSO2 API Manager | — | — |
| WSO2 | WSO2 API Control Plane | — | — |
| WSO2 | WSO2 Identity Server Key Manager Connector (apim-km-wso2is) |
< 1.8.8 |
1.8.8 |
Original description The description as published by the source.
This issue only impacts deployments where WSO2 Identity Server is configured as a Resident Key Manager with database sharing. In such environments, a self-registered user may gain access to the System REST APIs of WSO2 API Manager by obtaining a token from the WSO2 Identity Server token endpoint.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- web security.docs.wso2.com
- web nvd.nist.gov
- web security.docs.wso2.com
- web github.com