重要情報 脆弱性概要 脆弱性番号: WSO2-2025-4124/CVE-2025-5350 公開日: 2025-10-24 更新日: 2025-10-24 バージョン: 1.0.0 重大度: 中 CVSS スコア: 5.9 (CVSS:3.1/AV:A/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:L) 影響を受ける製品 WSO2 API Control Plane: 4.5.0 WSO2 API Manager: 4.5.0, 4.4.0, 4.3.0, 4.2.0, 4.1.0, 4.0.0, 3.2.1, 3.2.0, 3.1.0 WSO2 Enterprise Integrator: 6.6.0 WSO2 Identity Server as Key Manager: 5.10.0 WSO2 Identity Server: 7.1.0, 7.0.0, 6.1.0, 6.0.0, 5.11.0, 5.10.0 WSO2 Open Banking IAM: 2.0.0 WSO2 Open Banking IAM: 2.0.0 WSO2 Traffic Manager: 4.5.0 WSO2 Universal Gateway: 4.5.0 説明 問題: 削除された「Try-it」機能において、管理権限を持つユーザーによる検証されていないURLアクセスが許可されており、潜在的なサーバーサイドリクエストフォージェリ（SSRF）脆弱性につながる可能性があります。また、取得したコンテンツがHTMLレスポンスに直接組み込まれるため、管理者ユーザーのブラウザコンテキストにおいて反射型クロスサイトスクリプティング（XSS）攻撃を実行するためにも悪用できます。 影響 SSRFとXSSの組み合わせ: 管理者を悪意のあるURLにアクセスさせることで、攻撃者はサーバーに悪意のあるコンテンツを取得させ、そのコンテンツがユーザーのブラウザレスポンスで反映されるため、UIの変更やデータの窃取を可能とする任意のスクリプト実行を許可します。 内部サービス列挙: 管理権限を持つ悪意ある行為者が特定の悪意のあるURLにアクセスした場合、SSRFを使用して、WSO2製品の実装環境においてアクセス可能だが公開されていないエンドポイントをクエリするために悪用される可能性があります。これにより、内部ネットワークリソースのマッピングが容易になります。 対策 コミュニティユーザー（オープンソース）: 公開されている修正プログラム内の関連修正を適用してください。 サポート契約保有者: 修正プログラムを適用するために、製品を指定された更新レベル以上のレベルに更新してください。 謝辞 WSO2は、特定された問題を責任を持って報告し、その解決に協力してくれたNoel MACCARYに感謝します。