CVE-2025-2905(CVSS 9.1):WSO2 API 管理器中发现严重 XXE 漏洞

阅读量6885

发布时间 : 2025-05-08 20:07:11

📌 漏洞摘要

CVE-2025-2905(CVSS 9.1):WSO2 API 管理器中发现严重 XXE 漏洞
漏洞编号 CVE-2025-2905
CVSS评分 9.1 (高危)
影响版本 WSO2 API Manager ≤2.0.0
漏洞类型 XML外部实体注入(XXE)
攻击复杂度
所需权限 无需认证

🔍漏洞成因

  1. -网关组件对URL路径中的XML输入验证不足- XML解析器配置允许处理外部实体-未禁用DTD(DocumentTypeDefinition)解析

⚡ 数据包样例

  1. POST /gateway HTTP/1.1Host: vulnerable-serverContent-Type: application/xml<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd">]><request>&xxe;</request>

📁文件读取能力对比

JDK版本 可读取内容 风险等级
JDK ≤7 完整文件内容 🔴 严重
JDK 8+ 仅文件首行 🟠 高危

⚠️其他风险

•服务器端请求伪造(SSRF)•拒绝服务攻击(DoS)•内网端口扫描

🔧官方补丁

  1. 1.确认已安装WSO2-2016-0151补丁:补丁下载:https://wso2.com/security-patch-releases安装指南:`bin/wso2update_linux apply WSO2-2016-0151`2.升级到最新安全版本:当前稳定版:WSO2 API Manager4.1.0

⚙️临时缓解措施

  1. <!-- repository/conf/security/xxe-security.xml --><xxeConfig><enableProtection>true</enableProtection><disallowDocTypeDecl>true</disallowDocTypeDecl></xxeConfig>

 

本文转载自: CN-SEC

如若转载,请注明出处: https://cn-sec.com/archives/4039956.html

安全KER - 有思想的安全新媒体

分享到:微信
+10赞
收藏
安全客
分享到:微信

发表评论

Copyright © 北京奇虎科技有限公司 三六零数字安全科技集团有限公司 安全KER All Rights Reserved 京ICP备08010314号-66