CVE-2022-29464

WSO2 में एक प्री-प्रमाणीकरण मनमाना फ़ाइल अपलोड जो RCE की ओर ले जाता है

CVE का सारांश

CVE-2022-29464 Orange Tsai द्वारा खोजा गया WSO2 के लिए एक RCE कमजोरी है। एक अप्रमाणित मनमाना फ़ाइल अपलोड एक हमलावर को एक दुर्भावनापूर्ण JSP फ़ाइल अपलोड करके कोड निष्पादित करने की अनुमति देता है।

प्रभावित संस्करण

• WSO2 API Manager 2.2.0 - 4.0.0
• WSO2 Identity Server 5.2.0 - 5.11.0
• WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0, 5.6.0
• WSO2 Identity Server as Key Manager 5.3.0 - 5.11.0
• WSO2 Enterprise Integrator 6.2.0 - 6.6.0
• WSO2 Open Banking AM 1.4.0 - 2.0.0
• WSO2 Open Banking KM 1.4.0 - 2.0.0

विसंगतियाँ

एक JSP शेल अपलोड करता है

संदर्भ

• CVE-2022-29464 RCE शोषण में गहन विश्लेषण - ONSEC अनुसंधान टीम, 28 दिसंबर 2022
• Github POC - hakivvi, 27 अप्रैल 2022
• CVE-विवरण - CVSS स्कोर 10.0