MAL-006: WSO2 ESB의 "Try It" 도구에서의 XML 외부 엔티티

WSO2 ESB의 "Try It" 도구에서 오류 기반 XML 외부 엔티티(XXE) 공격이 발견되었습니다.

왜 CVE가 없나요?

공급업체는 "Try It은 프로덕션 환경에서 비활성화하는 것이 권장됩니다"라고 답변했으며, 공개적으로 공개되지 않았습니다.

요구 사항:

이 취약점을 악용하려면 다음이 필요합니다:

• 유효한 사용자 자격 증명
  또는
• 정당한 WSO2 리포지토리의 XML 파일 수정
  또는
• "Try It" 도구로 전송되는 파일을 가로채서 수정

개념 증명:

자세한 내용과 악용 과정은 이 PDF에서 확인할 수 있습니다.