🇰🇷 한글 설명
WSO2 API Manager, Identity Server 및 WSO2 IS의 파일 기반 서비스 제공자 생성 기능에서 XML 외부 엔티티(XXE) 취약점이 발견되었습니다. 공격자는 조작된 GET 요청을 통해 민감한 정보에 접근하거나 서비스 거부(DoS) 상태를 유발할 수 있습니다.
💡 쉬운 설명
악의적인 XML 파일을 통해 서버 내부의 중요한 파일을 몰래 읽거나 서버를 마비시킬 수 있는 보안 약점입니다. 공격자가 특수하게 만든 요청을 보내면 시스템이 이를 잘못 처리하여 문제가 발생합니다.
🇺🇸 원문 (English)
XML External Entity (XXE) vulnerability in the file based service provider creation feature of the Management Console in WSO2 API Manager 2.6.0, 3.0.0, 3.1.0, 3.2.0, and 4.0.0; and WSO2 IS as Key Manager 5.7.0, 5.9.0, and 5.10.0; and WSO2 Identity Server 5.7.0, 5.8.0, 5.9.0, 5.10.0, and 5.11.0. Allows attackers to gain read access to sensitive information or cause a denial of service via crafted GET requests.
📍 영향받는 시스템
WSO2 API Manager (2.6.0, 3.0.0, 3.1.0, 3.2.0, 4.0.0), WSO2 IS (5.7.0, 5.9.0, 5.10.0), WSO2 Identity Server (5.7.0, 5.8.0, 5.9.0, 5.10.0, 5.11.0)
⚔️ 공격 벡터
조작된 XML 엔티티가 포함된 GET 요청을 통해 공격 수행
🛡️ 대응 방법
WSO2에서 제공하는 최신 보안 패치 적용 및 XML 파서의 외부 엔티티 참조 기능 비활성화
🔧 검증 코드
출력된 파일 경로 및 디렉토리 명을 통해 현재 설치된 WSO2 제품군과 버전을 확인하여 취약 버전 여부를 판단합니다.
find / -name "wso2-*" 2>/dev/null
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access