MAL-006: WSO2 ESB の「Try It」における XML 外部エンティティ

WSO2 ESB の「Try It」ツールにおいて、エラーベースの XML 外部エンティティ（XXE）攻撃が特定されました。

なぜCVEがないのか？

ベンダーは「Try It は本番環境では無効にすることが推奨されます」と回答し、公開開示は行われませんでした。

要件:

この脆弱性には以下が必要です：

• 有効なユーザー資格情報
  または
• 正規のWSO2リポジトリからXMLファイルを変更する
  または
• 「Try It」ツールに送信されるファイルを傍受および変更する

概念実証:

詳細と悪用プロセスは、この PDF に記載されています。