CVE-2024-6423: утечка конфиденциальных данных через URL-параметры в продуктах WSO2

В начале июля 2024 года в списке CVE Project появилась запись о новой уязвимости CVE-2024-6423, затрагивающей целый ряд продуктов WSO2. Проблема связана с обработкой пользовательского ввода, передаваемого через параметры URL, и может привести к утечке конфиденциальной информации. Несмотря на средний уровень критичности, уязвимость заслуживает внимания администраторов, использующих перечисленные продукты в корпоративной среде.

Подробности

Уязвимость CVE-2024-6423 описывается как отсутствие должной проверки (validation constraints) пользовательских данных в URL-параметрах. Продукт не накладывал ограничений на передаваемый ввод, из-за чего чувствительные данные могли попадать в потоки обработки, для которых они не предназначались. При этом, как указано в описании, сами продукты эти данные не использовали — однако их принятие могло привести к журналированию.

Практический сценарий реализации риска таков: если пользователь по ошибке передаёт конфиденциальные сведения через URL-параметры в какой-либо поток, эти данные могут быть непреднамеренно зафиксированы в журналах доступа (access logs). В результате секретные сведения оказываются доступны тем, кто имеет доступ к логам, что ставит под угрозу безопасность и приватность системы — особенно при неправильной эксплуатации продукта.

Под уязвимость подпадают следующие продукты WSO2: WSO2 API Manager, WSO2 Open Banking AM, WSO2 Identity Server, WSO2 Identity Server as Key Manager, WSO2 Open Banking IAM, WSO2 Carbon Identity Application, WSO2 Carbon Identity Core и WSO2 Carbon Identity Oauth. Уязвимости присвоен базовый балл CVSS 4.0, что соответствует среднему уровню критичности.

Что делать

Рекомендации по снижению риска:

• Проверить наличие обновлений для затронутых продуктов WSO2 и установить версии, в которых устранена проблема, — сведения о фиксах следует уточнять у вендора и в официальных бюллетенях безопасности.
• Исключить передачу чувствительных данных через URL-параметры: использовать для этого тело запроса, защищённые заголовки или иные механизмы, не попадающие в журналы.
• Провести ревизию настроек логирования и ограничить доступ к журналам доступа (access logs), а также настроить их очистку и маскирование конфиденциальных полей.
• Проанализировать существующие журналы на предмет попадания в них секретов и при обнаружении — провести ротацию скомпрометированных данных.

Итог: CVE-2024-6423 не является критической уязвимостью прямого воздействия — эксплуатация возможна лишь при определённом (ошибочном) использовании продуктов WSO2. Тем не менее утечка конфиденциальных данных через журналы способна привести к серьёзным последствиям, поэтому рекомендуется оперативно обновиться, пересмотреть практики передачи чувствительных данных и ужесточить контроль доступа к логам.

Источник: CVE Project (cvelistV5)