WSO2RCE

CVE-2022-29464 は、WSO2 API Manager や WSO2 Open Banking などの一部の WSO2 製品に影響を与え、任意のファイルアップロードおよびリモートコード実行を許可します。

影響を受ける製品:

• WSO2 API Manager 2.2.0 から 4.0.0
• WSO2 Identity Server 5.2.0 から 5.11.0
• WSO2 Identity Server Analytics 5.4.0, 5.4.1, 5.5.0, 5.6.0
• WSO2 Identity Server as Key Manager 5.3.0 から 5.11.0
• WSO2 Enterprise Integrator 6.2.0 から 6.6.0
• WSO2 Open Banking AM 1.4.0 から 2.0.0
• WSO2 Open Banking KM 1.4.0 から 2.0.0

PoC

警告: 教育目的のみです。

エクスプロイトのダウンロード

このリポジトリをクローンします:

git clone https://github.com/Pasch0/WSO2RCE.git
cd WSO2RCE
pip install rich

エクスプロイトの実行

攻撃を開始するには、-u オプションで単一のターゲット URL を指定するか、-f オプションで複数のターゲットを含むファイルを指定します:

python run.py -u https://alvo.com/

バックドアへのアクセス

スクリプト実行時に生成された URL でバックドアにアクセスすると、テキストフィールドにシステムコマンドを入力し、その応答をページ上で受け取ることができます。

解決策

WSO2 は 2022 年 1 月に顧客向けに一時的な緩和策を提供し、2 月には WSO2 サポートマトリックス に記載されているすべてのサポート対象製品バージョン（ステータス「利用可能」および「非推奨」）向けの修正を提供しました。サポートサブスクリプションをご利用の WSO2 顧客の場合は、WSO2 アップデート を使用して修正を適用してください。

詳細については、https://docs.wso2.com/display/Security/Security+Advisory+WSO2-2021-1738 をご覧ください。