Компонент API Publisher ранее использовал некриптографический генератор псевдослучайных чисел (PRNG) для создания общих секретов для проверки Webhook HMAC. Этому PRNG не хватает энтропии для операций, чувствительных к безопасности, что позволяет опытному злоумышленнику предсказать будущие секреты. Это позволяет злоумышленникам подделывать полезные данные событий с действительными подписями HMAC, минуя проверку подлинности шлюза API.
Успешная эксплуатация может позволить злоумышленнику предсказать общие секреты, используемые для проверки HMAC Webhook, и подделать полезные данные событий с действительными подписями. Это может позволить обойти проверки подлинности шлюза API, что приведет к несанкционированному внедрению событий, манипулированию данными или компрометации нижестоящей системы.
Показать оригинальное описание (EN)
The API Publisher component previously used a non-cryptographic pseudorandom number generator (PRNG) to create shared secrets for Webhook HMAC validation. This PRNG lacks sufficient entropy for security-sensitive operations, allowing a sophisticated attacker to predict future secrets. This enables malicious actors to forge event payloads with valid HMAC signatures, bypassing the API Gateway's authenticity verification. Successful exploitation could allow an attacker to predict shared secrets used for Webhook HMAC validation and forge event payloads with valid signatures. This may enable bypassing API Gateway authenticity checks, leading to unauthorized event injection, data manipulation, or downstream system compromise.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 6
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Wso2 Api_Control_Plane
cpe:2.3:a:wso2:api_control_plane:*:*:*:*:*:*:*:*
|
4.5.0
|
4.5.0.53
|
|
Wso2 Api_Manager
cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
|
4.1.0
|
4.1.0.253
|
|
Wso2 Api_Manager
cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
|
4.2.0
|
4.2.0.193
|
|
Wso2 Api_Manager
cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
|
4.3.0
|
4.3.0.104
|
|
Wso2 Api_Manager
cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
|
4.4.0
|
4.4.0.68
|
|
Wso2 Api_Manager
cpe:2.3:a:wso2:api_manager:*:*:*:*:*:*:*:*
|
4.5.0
|
4.5.0.52
|