WSO2-Produkte: Remote Code Execution über die JDBC-User-Store-Konfiguration

Zusammenfassung

Mehrere WSO2-Produkte auf Basis des Carbon-Kernels, darunter Identity Server, API Manager und Enterprise Integrator, validieren Eingaben bei der Konfiguration von JDBC-User-Stores nicht korrekt. Ein Angreifer, der über die Management Console speziell präparierte Eingaben übermitteln kann, kann beliebigen Code auf dem Server mit den Rechten des WSO2-Produkts ausführen, was zur vollständigen Kompromittierung des Systems führen kann. Der CVE-Eintrag weist einen CVSS-Wert von 9.1 (kritisch) ohne Authentifizierung aus, das Security-Advisory des Herstellers konnte zur Überprüfung jedoch nicht geöffnet werden, weshalb dessen eigene Bewertung und die erforderlichen Berechtigungen geprüft werden sollten.

Betroffen

• Enterprise Integrator 6.6.0 vor 6.6.0.204
• API Manager 3.1.0 vor 3.1.0.275, 3.2.0 vor 3.2.0.365, 3.2.1 vor 3.2.1.19, 4.0.0 vor 4.0.0.308, 4.1.0 vor 4.1.0.170, 4.2.0 vor 4.2.0.107, 4.3.0 vor 4.3.0.21
• Open Banking AM 2.0.0 vor 2.0.0.325
• Open Banking IAM 2.0.0 vor 2.0.0.345
• Identity Server as Key Manager 5.10.0 vor 5.10.0.292
• Identity Server 5.10.0 vor 5.10.0.296, 5.11.0 vor 5.11.0.336, 6.0.0 vor 6.0.0.188, 6.1.0 vor 6.1.0.148, 7.0.0 vor 7.0.0.15
• Carbon User Manager Kernel 4.5.0 vor 4.5.0.4, 4.5.3 vor 4.5.3.34, 4.6.0 vor 4.6.0.141, 4.6.1 vor 4.6.1.108, 4.6.2 vor 4.6.2.610, 4.6.3 vor 4.6.3.23, 4.6.4 vor 4.6.4.5, 4.7.1 vor 4.7.1.51, 4.8.1 vor 4.8.1.23, 4.9.0 vor 4.9.0.54, 4.9.26 vor 4.9.26.13, 4.10.9 vor 4.10.9.10

Behoben in

• Die im CVE-Eintrag des Herstellers aufgeführten Update-Stände installieren: Enterprise Integrator 6.6.0.204, API Manager 3.1.0.275 / 3.2.0.365 / 3.2.1.19 / 4.0.0.308 / 4.1.0.170 / 4.2.0.107 / 4.3.0.21, Open Banking AM 2.0.0.325, Open Banking IAM 2.0.0.345, Identity Server as Key Manager 5.10.0.292, Identity Server 5.10.0.296 / 5.11.0.336 / 6.0.0.188 / 6.1.0.148 / 7.0.0.15, Carbon User Manager Kernel gemäss den betroffenen Versionen
• Updates werden über den Update-Mechanismus des Herstellers bereitgestellt; WSO2 Updates erfordert ein Abonnement

Umgehung

Unbekannt. Es wurde kein vom Hersteller bestätigter Zwischenschritt (Workaround) gefunden. Das Security-Advisory des Herstellers empfiehlt die Migration auf eine nicht betroffene Version.

Ausnutzung

• Zum Zeitpunkt der Erstellung ist keine aktive Ausnutzung bekannt.
• CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• In Primärquellen wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, welche WSO2-Produkte und Versionen im Einsatz sind, und diese mit den oben genannten Fixversionen vergleichen.
• Im nächsten Wartungsfenster patchen, bei exponierter Management Console früher.
• Den Zugriff auf die Management Console auf vertrauenswürdige Administrationsnetze beschränken und sie nicht aus dem Internet erreichbar machen.
• Administratorkonten prüfen: MFA erzwingen, starke Passwörter verwenden und das Least-Privilege-Prinzip anwenden.
• Console und Logs auf ungewöhnliche Änderungen an der User-Store-Konfiguration überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WSO2 Security Advisory WSO2-2023-3084 (2026 path from CVE reference) security.docs.wso2.com
• WSO2 Security Advisory WSO2-2023-3084 (2025 path) security.docs.wso2.com
• WSO2 carbon-kernel pull request #4067 github.com
• OpenCVE CVE-2024-4457 app.opencve.io
• The Hacker Wire CVE-2024-4457 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:22.