WSO2 API Manager代码问题漏洞(CVE-2022-29464）

最新推荐文章于 2025-05-20 03:36:38 发布
最新推荐文章于 2025-05-20 03:36:38 发布
阅读量1.6k 收藏 1
点赞数 1
CC 4.0 BY-SA版权
分类专栏： 漏洞复现 文章标签： 安全 服务器 web安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_41901122/article/details/128065463
本文详细介绍了WSO2 API Manager存在的一个高危安全漏洞（CVE-2022-29464），该漏洞允许不受限制的文件上传并可能导致远程代码执行。影响范围包括多个WSO2产品版本。攻击者利用特定端点的目录遍历序列可触发漏洞。安全研究员Orange Tsai发现了此漏洞，并提供了复现细节。官方已发布补丁，建议用户立即更新以保护系统安全。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

文章目录

0x01 漏洞介绍

WSO2 API Manager是美国WSO2公司的一套API生命周期管理解决方案。
WSO2 API Manager 存在安全漏洞，该漏洞允许无限制的文件上传和远程代码执行。
某些 WSO2 产品允许不受限制地上传文件，并最终执行远程代码。
攻击者必须使用具有内容处置目录遍历序列的 /fileupload 终结点才能访问 Web 根目录下的目录，例如 ../../../../repository/deployment/server/webapps directory.
。

0x02 影响版本

  • WSO2 API 管理器 2.2.0 及更高版本到 4.0.0;
  • WSO2 身份服务器 5.2.0 及更高版本至 5.11.0;
  • WSO2 身份服务器分析 5.4.0、5.4.1、5.5.0 和 5.6.0;WSO2 身份服务器作为密钥管理器 5.3.0 及更高版本到 5.10.0;
  • 以及 WSO2 企业集成商 6.2.0 及更高版本到 6.6.0

0x03 漏洞编号

  • CNNVD编号：CNNVD-202204-3737

  • 危害等级： 超危

  • CVE编号：

了解本专栏 订阅专栏 解锁全文 超级会员免费看
WSO2 API Manager的使用
m0_68269137的博客
03-22 1373
使用WSO2 API Manager的发布器和开发人员门户创建、发布和调用API的分步指南. ​ 官网链接:https://apim.docs.wso2.com/en/latest/get-started/api-manager-quick-start-guide/
漏洞分析： WSO2 API Manager 任意文件上传、远程代码执行漏洞
小王的储物间
02-25 971
因此我们将断点打到/org/wso2/carbon/ui/transports/fileupload/FileUploadExecutorManager.java#execute，正如上面描述所说、当收到一个文件上传请求，这个方法会被调用。它支持API设计，API发布，生命周期管理，应用程序开发，API安全性，速率限制，查看API的统计信息，以及连接API，API产品和端点。WSO2 身份服务器 5.8.0、5.7.0、5.6.0、5.5.0、5.4.1、5.4.0、5.3.0、5.2.0 和更早版本。
wso2~对接外部认证系统keycloak
weixin_42531396的博客
05-20 44
功能允许您将外部身份管理系统（如 Keycloak、Azure AD、Okta 等）集成到 WSO2 平台中，实现联合身份认证（Federation）。在 WSO2 Identity Server 或 WSO2 API Manager 中，转载于: https://www.cnblogs.com/lori/p/18882531。确保服务提供者使用的声明与 Identity Provider 的映射一致。完成 Identity Provider 的创建。Realm 或新建一个（如。，使用管理员账号登录。
WSO2 Api Manager 集成 Analytics
weixin_30679823的博客
09-12 286
WSO2 Api Manager仅实现了Api网关功能，但没有统计监控功能，必须与其Analytics组件集成才能实现，集成过程如下： 参考链接：https://docs.wso2.com/display/AM250/Analytics 1. 安装配置apim 参考前一篇: WSO2 API Manager安装部署配置 2. 安装analytics 下载并解压安装包：https://...
CVE-2022-29464
龙狼刺的博客
06-06 307
WSO2文件上传漏洞（CVE-2022-29464）是Orange Tsai发现的WSO2上的严重漏洞。该漏洞是一种未经身份验证的无限制任意文件上传，允许未经身份验证的攻击者通过上传恶意JSP文件在WSO2服务器上获得RCE。
春秋云镜 CVE-2022-29464
qq_22002773的博客
06-26 415
春秋云镜 CVE-2022-29464
网络安全漏洞检测_自动化批量扫描脚本_CVE-2022-29464远程代码执行漏洞利用工具_用于批量检测WSO2APIManager和IdentityServer产品中的CV.zip
最新发布
05-25
网络安全漏洞检测_自动化批量扫描脚本_CVE-2022-29464远程代码执行漏洞利用工具_用于批量检测WSO2APIManager和IdentityServer产品中的CV
CVE-2022-29464 WSO2文件上传漏洞
weixin_45260839的博客
07-23 4506
CVE-2022-29464 WSO2文件上传漏洞
WSO2 文件上传漏洞(CNNVD-202204-3737)(CVE-2022-29464)
嘟的博客
07-11 397
WSO2是一家成立于 2005 年的开源技术提供商。它提供了一个企业平台，用于在本地和整个 Internet 上 集成应用程序编程接口(API)、应用程序和 Web 服务。近日，WSO2 官网发布关于 WSO2 API Manager 中存在任意文件上传和远程代码执行漏洞的信息。该漏洞是由于 WSO2 存在路由对输入的内容过滤不严格，攻击者可以利用该漏洞在未授权的情况下，构造恶意数据执行文件上传攻击，最终获取服务器最高权限。= null) {
【春秋云境】CVE-2022-29464
ZXW_NUDT的博客
02-22 2749
【春秋云境】CVE-2022-29464
春秋云境靶场之CVE-2022-29464
qq_58091216的博客
09-17 613
根据题目提示，存在文件上传漏洞。
春秋云境：CVE-2022-29464
一只爱吃橙子的羊
11-29 1885
WSO2文件上传漏洞（CVE-2022-29464）是Orange Tsai发现的WSO2上的严重漏洞。该漏洞是一种未经身份验证的无限制任意文件上传，允许未经身份验证的攻击者通过上传恶意JSP文件在WSO2服务器上获得RCE。
WSO2 products 文件上传漏洞（CVE-2022-29464）
Flag少侠的博客
07-02 9428
该请求允许上传恶意的 JSP 脚本，然后可以通过网络浏览器访问该文件以触发其执行，从而获得远程命令执行的权限。春秋云镜靶场是一个专注于网络安全培训和实战演练的平台，旨在通过模拟真实的网络环境和攻击场景，提升用户的网络安全防护能力和实战技能。春秋云镜靶场适合网络安全从业人员、学生以及对网络安全感兴趣的个人，通过在平台上进行不断的学习和实战演练，可以有效提升网络安全技能和防护能力。提供系统化的网络安全课程，从基础到高级，覆盖多个安全领域，适合不同水平的用户。通过实战操作，帮助用户掌握漏洞利用和防护的技能。
WSO2文件上传漏洞（CVE-2022-29464）
热门推荐
chaojixiaojingang
05-09 1万+
1.漏洞描述 WSO2文件上传漏洞（CVE-2022-29464）是Orange Tsai发现的WSO2上的严重漏洞。该漏洞是一种未经身份验证的无限制任意文件上传，允许未经身份验证的攻击者通过上传恶意JSP文件在WSO2服务器上获得RCE。 2.影响范围 WSO2 API Manager 2.2.0 及更高版本到 4.0.0 WSO2 Identity Server 5.2.0 及以上至 5.11.0 WSO2 身份服务器分析 5.4.0、5.4.1、5.5.0 和 5.6.0 W...
WSO2 API Manager创建一个REST API
m0_68269137的博客
03-24 437
使用WSO2 API Manager点击Creat API - REST API,创建REST API
上传漏洞（CVE-2022-29464）
yh
12-01 160
【代码】上传漏洞（CVE-2022-29464）
春秋云境CVE-2022-29464
09-05
春秋云境CVE-2022-29464是指WSO2 API Manager 文件上传漏洞的CVE编号。这个漏洞允许攻击者通过上传恶意文件来执行任意代码，进而导致服务器受到攻击。根据引用，在GitHub上有一个项目，其中包含了与该漏洞相关的利用...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

星球守护者

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值