🇰🇷 한글 설명
WSO2 제품의 내부 SOAP 관리 서비스 및 시스템 REST API에서 권한 검증이 불충분하여 발생하는 부적절한 접근 제어 취약점입니다. 권한이 낮은 사용자가 이 결함을 악용하여 서버 수준의 정보에 접근하는 등 승인되지 않은 작업을 수행할 수 있습니다.
💡 쉬운 설명
시스템 관리용 내부 통로에 보안 문이 제대로 잠겨 있지 않은 상태입니다. 이를 통해 권한이 낮은 사용자가 관리자처럼 행동하며 서버의 중요한 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
An improper access control vulnerability exists in multiple WSO2 products due to insufficient permission enforcement in certain internal SOAP Admin Services and System REST APIs. A low-privileged user may exploit this flaw to perform unauthorized operations, including accessing server-level information.
This vulnerability affects only internal administrative interfaces. APIs exposed through the WSO2 API Manager's API Gateway remain unaffected.
📍 영향받는 시스템
WSO2 제품군 중 내부 SOAP Admin Services 및 System REST API를 사용하는 버전
⚔️ 공격 벡터
낮은 권한을 가진 사용자가 권한 검증이 미흡한 내부 관리용 API를 호출하여 공격
🛡️ 대응 방법
WSO2에서 제공하는 최신 보안 패치를 적용하고 내부 관리 API에 대한 접근 제어를 강화하십시오.
🔧 검증 코드
관리자 서비스 경로에 대한 접근 시 인증 없이 200 OK 응답이 오면 취약할 가능성이 높습니다.
curl -s -I http://<target_ip>:<port>/admin/services/ | grep -i 'HTTP/1.1 200 OK'
📊 CVSS Vector String
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
💻 영향받는 소프트웨어
Spring Cloud Gateway Server