WSO2 Multiple Products のパストラバーサルの脆弱性（CVE-2022-29464）

何が起きた

WSO2 の複数の製品で、ファイルのアップロードが制限されておらず、Web で公開される場所にファイルを置かれてしまう弱点が見つかりました。その結果、リモートでコードを実行されるおそれがあります。この弱点は実際の攻撃で悪用されたことが確認されており、ランサムウェアでの悪用も知られています。NVD の評価では、ログイン不要で、離れた場所からネットワーク経由で悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD では、WSO2 API Manager 2.2.0 から 4.0.0、WSO2 Identity Server 5.2.0 から 5.11.0、WSO2 Identity Server Analytics 5.4.0、5.4.1、5.5.0、5.6.0、WSO2 Identity Server as Key Manager 5.3.0 から 5.11.0、WSO2 Enterprise Integrator 6.2.0 から 6.6.0、WSO2 Open Banking AM と KM の 1.4.0 から 2.0.0 が対象とされています。WSO2 の勧告では、これに加えて WSO2 Identity Server 5.1.0、WSO2 Open Banking AM と KM の 1.3.0、WSO2 Open Banking IAM 2.0.0 なども挙げられており、サポートが続いていない古い版も影響を受けるおそれがあるとしています。

何をすればいい

WSO2 のサブスクリプションがある場合は、WSO2 Updates で修正を適用してください。オープンソース版やサポートが終わった版を使っている場合は、最新版に移行するか、公開された修正を適用するよう WSO2 は案内しています。すぐに更新できない場合の一時的な対策として、deployment.toml や carbon.xml のファイルアップロードの設定を変える方法も示されています（deployment.toml を変えた場合は、サーバーの再起動が必要です）。あわせて WSO2 の公式の案内を確認してください。

やることチェックリスト

• WSO2 Updates で修正を適用する
• 最新版への移行か公開された修正を適用する
• ファイルアップロードの設定を一時的に変える

用語メモ

アップロード

手元のファイルを、ネットワーク越しにサーバーへ送って置くことです。

ランサムウェア

データを使えなくして、元に戻す代わりに金銭を要求する不正なプログラムです。

サブスクリプション

料金を払って、更新やサポートを一定の期間受けられる契約のことです。