CVE-2024-23733 Software AG webMethods API Integration Server 10.15.0 访问控制不当
描述 Software AG webMethods 10.15.0（Core_Fix7 之前版本）Integration Server 中的 /WmAdmin/,/invoke/vm.server/login 登录页面允许远程攻击者通过向 /WmAdmin/#/login/ URI 发送任意用户名和空密码，从而访问管理面板并发现主机名和版本信息。
漏洞类型 访问控制不当
产品厂商 SoftwareAG
受影响产品代码库https://github.com/ekcrsm/CVE-2024-23733/tree/main WebMethods Integration Server - 已在 10.15.0.0000-0092 上测试。已在 IS_10.15 Core_Fix7 中修复。
受影响组件 Software AG webMethods API Integration Server 10.15.0
攻击类型 远程
影响信息泄露 是
受影响组件 /WmAdmin/,/invoke/vm.server/login （登录页面）
攻击向量 要利用此漏洞，应解释 HTTP 流量，并在登录屏幕（通过 /invoke/vm.server/login 调用）发送一个虚拟用户名（例如星号）和空密码，从而允许访问管理仪表盘。应丢弃 /admin/navigation/license 请求，以免被注销。产品所安装服务器的真实主机名、版本信息以及任何管理 API 端点都会变得可见。
参考 https://www.softwareag.com/en_corporate/platform/integration-apis/webmethods-integration.html
发现者 Rasime Ekici
