CVE-2025-12627
NiskieCVSS 2.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Proces personifikacji użytkownika w WSO2 Identity Server nie zarządza poprawnie tokenami odświeżania związanymi z sesjami personifikowanymi. Pozwala to atakującemu, który uzyskał token dostępu dla personifikowanego użytkownika, wykorzystać grant tokena odświeżania do uzyskania nowych tokenów dostępu, przedłużając możliwość działania jako prawowity użytkownik. Atakujący może w ten sposób kontynuować działania w imieniu rzeczywistego użytkownika, kompromitując integralność logów i utrudniając śledzenie działań.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do kont użytkowników i możliwość długotrwałego podszywania się pod nich, co może prowadzić do naruszenia poufności danych i integralności systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację WSO2 Identity Server do wersji, która naprawia tę podatność, oraz wdrożenie mechanizmów monitorowania i wygaszania tokenów odświeżania dla sesji personifikowanych.
Inne podatności w WSO2 Identity Server
Zobacz wszystkie- CVE-2016-4312Wysokie
Podatność XXE w funkcji przepływu XACML w WSO2 Identity Server 5.1.0 przed WSO2-CARBON-PATCH-4.4.0-0231 pozwala zdalnym uwierzytelnionym użytkownikom z dostępem do funkcji XACML na odczyt dowolnych plików, wywołanie odmowy usługi, przeprowadzenie ataków SSRF lub inne nieokreślone skutki poprzez spreparowane żądanie XACML.
- CVE-2016-4311Wysokie
W podatności CVE-2016-4311 występuje luka CSRF w funkcji przepływu XACML w WSO2 Identity Server 5.1.0, która pozwala zdalnym atakującym na przejęcie uwierzytelnienia uprzywilejowanych użytkowników dla żądań przetwarzających żądania XACML.
- CVE-2026-4052Krytyczne
Podatność dotyczy wdrożeń WSO2 Identity Server skonfigurowanego jako Resident Key Manager z udostępnianiem bazy danych. W takim środowisku samodzielnie zarejestrowany użytkownik może uzyskać dostęp do System REST APIs WSO2 API Manager poprzez token z endpointu tokenów WSO2 Identity Server.
- CVE-2026-6647Wysokie
W WSO2 Identity Server z magazynem użytkowników nieczułym na wielkość liter i bazą danych czułą na wielkość liter mogą wystąpić niezgodności w obsłudze wielkości liter nazw użytkowników. Powoduje to, że operacje unieważniania tokenów OAuth nie identyfikują poprawnie nazw z mieszaną wielkością liter, przez co tokeny nie są unieważniane.
- CVE-2025-13591Średnie
Punkt końcowy uwierzytelniania WSO2 Identity Server nie zapewnia spójnej odpowiedzi systemu, gdy nazwa użytkownika nie istnieje, co pozwala atakującemu rozróżnić ważne i nieprawidłowe nazwy użytkowników. Różnica w odpowiedziach może być wykorzystana do wyliczenia istniejących kont użytkowników.
- CVE-2024-8122Średnie
WSO2 Identity Server nie egzekwuje domyślnego czasu wygaśnięcia dla SMS-owych haseł jednorazowych (OTP) używanych w MFA. Nieużywane OTP pozostają ważne bezterminowo, co umożliwia atakującym przeprowadzanie ataków brute force przez wielokrotne zgadywanie kodu. Udany atak może prowadzić do obejścia MFA i przejęcia konta użytkownika.
- CVE-2025-14779Niskie
Interfejs REST API do zarządzania typami sekretów nie izoluje poprawnie kontroli dostępu podczas usuwania typu sekretu. Logika kaskadowego usuwania nie przestrzega granic organizacyjnych, co prowadzi do usunięcia sekretów powiązanych z tym typem we wszystkich organizacjach. Eksploatacja może spowodować niezamierzone usunięcie sekretów w całym wdrożeniu, prowadząc do awarii konfiguracji, przerw w działaniu usług i warunków typu denial-of-service.
- CVE-2025-13736Niskie
Gdy włączone jest logowanie wieloatrybutowe, interfejs logowania nie maskuje konsekwentnie istnienia kont użytkowników. Dla prawidłowych użytkowników serwer wyświetla ich kanoniczną nazwę użytkownika, a dla nieistniejących odsyła oryginalne dane wejściowe. Dzieje się tak niezależnie od konfiguracji validate_username. Ujawnienie prawidłowych nazw użytkowników zwiększa ryzyko ataków brute force, inżynierii społecznej i ukierunkowanego wycieku informacji.
- CVE-2024-8995Średnie
Nieużywane kody autoryzacyjne wydane usuniętym użytkownikom nie są prawidłowo unieważniane ani usuwane z systemu, co pozwala na ich potencjalne ponowne użycie. Jeśli atakujący posiada zarówno kod autoryzacyjny, jak i powiązane dane klienta (ID i sekret), może uzyskać tokeny dostępu w imieniu usuniętych użytkowników, co prowadzi do nieautoryzowanego dostępu do zasobów.
- CVE-2024-6832Średnie
Mechanizm blokady konta nie uruchamia się, gdy dodatkowe magazyny użytkowników są niedostępne. Oprogramowanie nie utrzymuje spójnego stanu blokady, jeśli nie może osiągnąć wszystkich skonfigurowanych magazynów, co pozwala atakującemu na wielokrotne próby uwierzytelnienia z nieprawidłowymi danymi bez wyzwalania blokady.
Oryginalny opis (angielski, źródło NVD)
The user impersonation flow in WSO2 Identity Server fails to properly manage refresh tokens associated with impersonated sessions. This allows an attacker who has obtained an access token for an impersonated user to leverage the refresh token grant to obtain new access tokens, extending their ability to act as the legitimate user. An attacker who gains access to an impersonated user's access token can exploit this weakness to renew their authorization. This results in the continued ability to perform actions on behalf of the actual user, compromising log integrity and traceability by masking the true actor.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS