🇰🇷 한글 설명
WSO2 Enterprise Integrator 제품에서 내부 SOAP 관리 서비스의 권한 제한이 미흡하여 발생하는 부적절한 접근 제어 취약점입니다. 권한이 낮은 사용자가 시스템 로그 및 사용자 저장소 구성 정보와 같이 노출되지 않아야 할 내부 운영 데이터에 접근할 수 있습니다.
💡 쉬운 설명
낮은 권한을 가진 사용자가 시스템의 내부 설정이나 로그를 몰래 훔쳐볼 수 있는 보안 허점입니다. 직접적인 정보 유출은 없더라도, 공격자가 다음 공격을 준비하기 위한 정보를 수집하는 데 악용될 수 있습니다.
🇺🇸 원문 (English)
An improper access control vulnerability exists in WSO2 Enterprise Integrator product due to insufficient permission restrictions on internal SOAP admin services related to system logs and user-store configuration. A low-privileged user can access log data and user-store configuration details that are not intended to be exposed at that privilege level.
While no credentials or sensitive user information are exposed, this vulnerability may allow unauthorized visibility into internal operational details, which could aid in further exploitation or reconnaissance.
📍 영향받는 시스템
WSO2 Enterprise Integrator (상세 버전 확인 필요)
⚔️ 공격 벡터
권한이 낮은 사용자가 내부 SOAP 관리 서비스에 접근하여 로그 및 구성 정보 조회
🛡️ 대응 방법
WSO2 보안 패치 적용 및 내부 SOAP 서비스에 대한 접근 권한 제한 설정
🔧 검증 코드
낮은 권한의 계정으로 관리 서비스 호출 시 로그나 구성 정보가 포함된 응답이 반환되는지 확인
curl -s -u [low_priv_user]:[password] https://[target_host]:[port]/services/AdminService | grep -i 'SOAP'