WSO2RCE

La CVE-2022-29464 colpisce alcuni prodotti WSO2 come WSO2 API Manager e WSO2 Open Banking, consentendo il caricamento arbitrario di file e l'esecuzione remota di codice.

Prodotti interessati:

• WSO2 API Manager 2.2.0, fino a 4.0.0
• WSO2 Identity Server 5.2.0, fino a 5.11.0
• WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0, 5.6.0
• WSO2 Identity Server as Key Manager 5.3.0, fino a 5.11.0
• WSO2 Enterprise Integrator 6.2.0, fino a 6.6.0
• WSO2 Open Banking AM 1.4.0, fino a 2.0.0
• WSO2 Open Banking KM 1.4.0, fino a 2.0.0

PoC

Avviso: solo per fini educativi.

Scarica l'exploit

Clona questo repository:

git clone https://github.com/Pasch0/WSO2RCE.git
cd WSO2RCE
pip install rich

Esecuzione dell'exploit

Per avviare l'attacco, usa il comando -u per indicare un singolo URL come bersaglio oppure -f per un file con più bersagli:

python run.py -u https://alvo.com/

Accesso alla backdoor

Accedendo alla backdoor tramite l'URL generato durante l'esecuzione dello script, è possibile interagire con il campo di testo inserendo comandi di sistema e ricevendo la risposta nella pagina.

SOLUZIONE

WSO2 ha fornito mitigazioni temporanee ai clienti a gennaio 2022 e ha fornito le correzioni per tutte le versioni di prodotto supportate elencate nella Matrice di supporto WSO2 (stato "disponibile" e "obsoleto") a febbraio. Se sei un cliente WSO2 con un abbonamento al supporto, utilizza gli Aggiornamenti WSO2 per applicare la correzione.

Per maggiori dettagli, visita: https://docs.wso2.com/display/Security/Security+Advisory+WSO2-2021-1738