- Yama var
- Son 7 gün
- CWE-204
CVE-2024-7478
WSO2 ürünlerinde harici kullanıcı depolarıyla kullanıcı adı numaralandırma zafiyeti
WSO2 API ManagerWSO2 Carborn Identity HandlerWSO2 Identity Server
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WSO2
ÖzetTürkçe
Bir WSO2 ürünü harici bir kullanıcı deposu kullanacak şekilde yapılandırıldığında, sistem kimlik doğrulama girişimleri sırasında kullanıcı adlarının varlığını veya geçerliliğini yeterince gizleyemiyor. Bu hata, bir saldırganın kimlik doğrulama mekanizmasını farklı kullanıcı adı tahminleriyle tekrar tekrar sorgulamasına ve harici kullanıcı deposunda bulunan geçerli kullanıcı adlarını numaralandırmasına olanak tanıyor.
Geçerli kullanıcı adlarının keşfedilmesi, hedefli kaba kuvvet saldırılarının, sosyal mühendislik girişimlerinin ve bilgi sızıntısının riskini artırabilir. Saldırganlar bu bilgiyi, kullanıcıları hassas verileri paylaşmaya ikna etmek için daha inandırıcı oltalama kampanyaları veya diğer sosyal mühendislik taktikleri hazırlamak amacıyla kullanabilir. Kullanıcı adı numaralandırması ayrıca bir kuruluşun itibarını olumsuz etkileyerek müşteri güveninin kaybına, mevzuata uyumsuzluğa ve olası hukuki ve mali sonuçlara yol açabilir.
CVSS 3.1 vektörü: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N, puan: 5.79999999999999982236431605997495353221893310546875 (MEDIUM).
Kaynaktaki açıklama (İngilizce)
When a WSO2 product is configured to use an external user store, the system fails to adequately obscure the existence or validity of usernames during authentication attempts. This oversight allows an attacker to repeatedly query the authentication mechanism with different username guesses, enabling the enumeration of valid usernames present in the external user store.
The discovery of valid usernames can increase the risk of targeted brute-force attacks, social engineering, and information leakage. Attackers can leverage this information to craft more convincing phishing campaigns or other social engineering tactics to trick users into revealing sensitive data. The presence of username enumeration could also negatively impact an organization's reputation, leading to loss of customer trust, regulatory non-compliance, and potential legal and financial repercussions.
Üreticinin çözüm notu (İngilizce)
Follow the instructions given on https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2024-3606/#solution
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler6 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| WSO2 API Manager | < 3.1.0 Bilinmiyor | – |
| ≥ 3.1.0, < 3.1.0.310 | 3.1.0.310 | |
| ≥ 3.2.0, < 3.2.0.401 | 3.2.0.401 | |
| ≥ 3.2.1, < 3.2.1.26 | 3.2.1.26 | |
| ≥ 4.0.0, < 4.0.0.318 | 4.0.0.318 | |
| ≥ 4.1.0, < 4.1.0.180 | 4.1.0.180 | |
| ≥ 4.2.0, < 4.2.0.119 | 4.2.0.119 | |
| ≥ 4.3.0, < 4.3.0.30 | 4.3.0.30 | |
| WSO2 Carborn Identity Handler | ≥ 1.4.0, < 1.4.0.15 | 1.4.0.15 |
| ≥ 1.4.0, < 1.4.0.16 | 1.4.0.16 | |
| ≥ 1.4.11, < 1.4.11.14 | 1.4.11.14 | |
| ≥ 1.4.37, < 1.4.37.1 | 1.4.37.1 |
ve 16 satır daha
Kaynaklar3 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.