WSO2 多种产品 JSON Web 令牌认证绕过

critical Web App Scanning 插件 ID 115687

语言：

简介

描述

WSO2 API Manager 版本 4.1.0 到 4.6.0、WSO2 API Control Plane 版本 4.5.0 和 4.6.0、 WSO2 Traffic Manager 版本 4.5.0 和 4.6.0 WSO2 Universal Gateway 版本 4.5.0 ，并且 4.6.0 受到身份验证绕过漏洞的影响。当令牌使用 RSA 以外的算法签名时，管理 REST API 使用的 JSON Web Token 签名验证会引发错误，并且 OAuth 认证拦截器丢弃此错误而不是拒绝请求，然后在没有任何认证或范围验证的情况下处理请求。因此，未经认证的远程攻击者可伪造带有常驻密钥管理器发行者、以不受支持的算法（例如 HS256 任意签名）签名的标记来调用 Admin 和 Publisher REST API，从而导致管理帐户泄露和帐户完全接管。

解决方案

根据 WSO2 公告应用固定更新级别（或更高版本）：WSO2 API Manager 4.1.0 更新级别 257、 4.2.0 更新级别 197、 4.3.0 更新级别 108、 4.4.0 更新级别 72、 4.5.0 更新级别 57、 4.6.0 更新级别 21、WSO2 API 控制平面 4.5.0 更新级别 58、 4.6.0 更新级别 22、WSO2 流量管理器 4.5.0 更新级别 56、 4.6.0 更新级别 21 和 WSO2 通用网关 4.5.0 更新级别 57、 4.6.0 更新级别 21。开源用户应应用公开补丁或迁移到最新的不受影响的版本。