WSO2 Identity Server: Unzureichende Autorisierung in SCIM-Endpunkten

Zusammenfassung

Mehrere WSO2-Produkte, darunter Identity Server, Identity Server as Key Manager, Open Banking IAM und die Carbon-SCIM-Komponenten, validieren die Autorisierung in den SCIM-2.0- und SCIM-1.1-Endpunkten nicht ausreichend, wenn ein föderierter und ein lokaler Benutzer denselben Benutzernamen haben. Ein als föderierter Benutzer authentifizierter Angreifer kann beliebige Operationen auf dem lokalen Konto ausführen, was zu einer Kontoübernahme führen kann. Der Hersteller stuft Installationen ohne Selbstregistrierung von Benutzern als mittleren Schweregrad ein.

Betroffen

• WSO2 Identity Server 5.10.0 vor 5.10.0.379, 5.11.0 vor 5.11.0.415, 6.0.0 vor 6.0.0.251, 6.1.0 vor 6.1.0.251, 7.0.0 vor 7.0.0.127, 7.1.0 vor 7.1.0.34
• WSO2 Identity Server as Key Manager 5.10.0 vor 5.10.0.370
• WSO2 Open Banking IAM 2.0.0 vor 2.0.0.419
• WSO2 Carbon SCIM 2.0 Common Component vor 1.5.1.40 und 1.5.46.47
• WSO2 Carbon SCIM Common Component: mehrere Versionsbereiche, siehe Herstellerhinweis
• Andere Produkte, welche diese Komponenten einbetten: Unbekannt

Behoben in

• Identity Server: 5.10.0.379, 5.11.0.415, 6.0.0.251, 6.1.0.251, 7.0.0.127, 7.1.0.34 oder neuer
• Identity Server as Key Manager: 5.10.0.370 oder neuer
• Open Banking IAM: 2.0.0.419 oder neuer
• Carbon-SCIM-Komponenten: Korrigierte Stände sind im Herstellerhinweis aufgeführt; Community-Benutzer können die verlinkten Korrekturen anwenden

Umgehung

• Verhindern, dass lokale und föderierte Benutzer denselben Benutzernamen verwenden.
• Den Zugriff föderierter Benutzer auf die SCIM-Endpunkte deaktivieren.
• Diese Massnahmen werden von Sekundärquellen genannt und sind im Herstellerhinweis nicht verifiziert.

Ausnutzung

• Nicht bekanntermassen in freier Wildbahn ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt (laut Sekundärquellen).
• CISA-SSVC-Ausnutzung: keine; automatisierbar: ja.
• Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
• EPSS unter 1 Prozent (laut Sekundärquellen).

Unsere Empfehlung

• Alle WSO2-Komponenten Identity Server, Key Manager, Open Banking IAM und Carbon SCIM inklusive Versionen inventarisieren.
• So rasch wie möglich auf die im Herstellerhinweis genannten korrigierten Versionen aktualisieren.
• Falls sich das Patchen verzögert, den Zugriff föderierter Benutzer auf die SCIM-Endpunkte deaktivieren oder eindeutige Benutzernamen für lokale und föderierte Benutzer erzwingen.
• Prüfen, ob Föderation oder Selbstregistrierung für externe Parteien offen sind, und nach bestehenden Namenskollisionen suchen.
• Den Zugriff auf die SCIM-Endpunkte einschränken und Änderungen an Benutzerkonten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WSO2 Security Advisory WSO2-2025-4438 security.docs.wso2.com
• OpenCVE: CVE-2025-10149 app.opencve.io
• HOL Guard: CVE-2025-10149 hol.org
• CVE Threat Intelligence: CVE-2025-10149 cve.threatint.com
• Vulners (Rapid7): CVE-2025-10149 vulners.com
• Vulners (PT-2026-117486) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:44.