Уязвимость внедрения Expression Language в продуктах WSO2 (CVE-2024-4412)

В экосистеме продуктов WSO2 обнаружена уязвимость, связанная с недостаточной проверкой пользовательских данных. Проблеме присвоен идентификатор CVE-2024-4412. Несмотря на низкую оценку по шкале CVSS, факт наличия вектора внедрения Expression Language требует внимания администраторов, отвечающих за развёртывания WSO2.

Подробности

Уязвимость затрагивает широкий перечень продуктов и компонентов WSO2: WSO2 Enterprise Integrator, WSO2 API Manager, WSO2 Open Banking IAM, WSO2 Identity Server, WSO2 Identity Server as Key Manager, WSO2 Open Banking AM, а также ряд компонентов WSO2 Carbon — Identity User Store Configuration UI, Identity User Store Configuration, Identity Recovery Management, Identity Application Authentication Framework и Identity User Store.

Причина уязвимости — недостаточная валидация данных, поступающих от пользователя. Программное обеспечение принимает такие данные без должной проверки, что позволяет внедрить вредоносный код Expression Language (EL). В результате в уязвимом развёртывании может быть выполнена произвольная операция.

Согласно описанию, для эксплуатации требуются привилегии администратора. Влияние оценивается как минимальное, поскольку использование EL ограничено отдельными операциями чтения. Уровень критичности по CVSS составляет 2.7 (LOW).

Что делать

С учётом того, что эксплуатация возможна только с правами администратора, ключевой мерой остаётся строгий контроль доступа: следует пересмотреть состав учётных записей с повышенными привилегиями и убедиться, что административные права предоставлены только необходимым лицам. Рекомендуется отслеживать выпуск официальных обновлений от WSO2 для затронутых продуктов и компонентов и применять их по мере доступности. Дополнительно стоит ограничить ввод пользовательских данных в интерфейсах, связанных с конфигурацией хранилища пользователей и управлением восстановлением учётных записей, а также усилить мониторинг административных действий в уязвимых развёртываниях.

Уязвимость CVE-2024-4412 не является критичной, однако её наличие в обширном списке продуктов WSO2 подчёркивает важность гигиены привилегированного доступа и своевременного обновления компонентов. Организациям, использующим перечисленные продукты, следует держать под контролем круг администраторов и оперативно реагировать на выпуск патчей от вендора.

Источник: CVE Project (cvelistV5)