CVE-2024-7478— WSO2 多产品外部用户存储用户名枚举漏洞
一分钟漏洞结论
影响对象
WSO2 WSO2 API Manager
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
当 WSO2 产品配置为使用外部用户存储时，系统在认证尝试过程中未能有效隐藏用户名的存在性或有效性。这一疏漏使得攻击者能够反复向认证机制提交不同的用户名猜测，从而枚举出外部用户存储中有效的用户名。 有效用户名的泄露会加剧针对性暴力破解攻击、社会工程攻击以及信息泄露的风险。攻击者可利用这些信息设计更具说服力的网络钓鱼活动或其他社会工程手段，诱骗用户泄露敏感数据。此外，用户名枚举漏洞还可能对组织的声誉造成负面影响，导致客户信任流失、违反监管要求，并引发潜在的法律与财务后果。
影响版本矩阵 28
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| WSO2 | WSO2 API Manager | < 3.1.0 |
unknown |
3.1.0< 3.1.0.310 |
affected | ||
3.2.0< 3.2.0.401 |
affected | ||
3.2.1< 3.2.1.26 |
affected | ||
4.0.0< 4.0.0.318 |
affected | ||
4.1.0< 4.1.0.180 |
affected | ||
4.2.0< 4.2.0.119 |
affected | ||
4.3.0< 4.3.0.30 |
affected | ||
| WSO2 | WSO2 Carborn Identity Handler | 1.4.0< 1.4.0.15 |
affected |
1.4.0< 1.4.0.16 |
affected | ||
1.4.11< 1.4.11.14 |
affected | ||
1.4.37< 1.4.37.1 |
affected | ||
1.6.1< 1.6.1.5 |
affected | ||
1.7.1< 1.7.1.1 |
affected | ||
1.8.6< 1.8.6.5 |
affected | ||
1.8.14< 1.8.14.1 |
affected | ||
| … +1 条更多 | |||
| WSO2 | WSO2 Identity Server | < 5.10.0 |
unknown |
5.10.0< 5.10.0.326 |
affected | ||
6.0.0< 6.0.0.214 |
affected | ||
6.1.0< 6.1.0.198 |
affected | ||
7.0.0< 7.0.0.67 |
affected | ||
| WSO2 | WSO2 Identity Server as Key Manager | < 5.10.0 |
unknown |
5.10.0< 5.10.0.320 |
affected | ||
| WSO2 | WSO2 Open Banking AM | < 2.0.0 |
unknown |
2.0.0< 2.0.0.351 |
affected | ||
| WSO2 | WSO2 Open Banking IAM | < 2.0.0 |
unknown |
2.0.0< 2.0.0.371 |
affected | ||
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2024-7478 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Username Enumeration via External User Stores in Multiple WSO2 Products Allows User Account Discovery
来源: CVE Program / CVE List V5
Vulnerability Description
When a WSO2 product is configured to use an external user store, the system fails to adequately obscure the existence or validity of usernames during authentication attempts. This oversight allows an attacker to repeatedly query the authentication mechanism with different username guesses, enabling the enumeration of valid usernames present in the external user store.
The discovery of valid usernames can increase the risk of targeted brute-force attacks, social engineering, and information leakage. Attackers can leverage this information to craft more convincing phishing campaigns or other social engineering tactics to trick users into revealing sensitive data. The presence of username enumeration could also negatively impact an organization's reputation, leading to loss of customer trust, regulatory non-compliance, and potential legal and financial repercussions.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
响应差异性信息暴露
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| WSO2 | WSO2 API Manager | 3.1.0 ~ 3.1.0.310 | - |
|
| WSO2 | WSO2 Identity Server as Key Manager | 5.10.0 ~ 5.10.0.320 | - |
|
| WSO2 | WSO2 Identity Server | 5.10.0 ~ 5.10.0.326 | - |
|
| WSO2 | WSO2 Open Banking IAM | 2.0.0 ~ 2.0.0.371 | - |
|
| WSO2 | WSO2 Open Banking AM | 2.0.0 ~ 2.0.0.351 | - |
|
| WSO2 | WSO2 Carborn Identity Handler | 1.4.0 ~ 1.4.0.15 | - |
|
二、漏洞 CVE-2024-7478 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2024-7478 的情报信息
请登录查看更多情报信息。
CVE-2024-7478 其他参考 (1)
同批安全公告 · WSO2 · 2026-10-21 · 共 6 条
| CVE-2024-5139 | 6.1 MEDIUM | 多款 WSO2 产品认证端点跨站脚本漏洞 |
| CVE-2024-4989 | 5.4 MEDIUM | WSO2 API Manager 回调 URL 重定向钓鱼漏洞 |
| CVE-2024-5563 | 4.8 MEDIUM | WSO2 Identity Server 身份验证流程中 reCaptcha 实现不完整导致暴力破解漏洞 |
| CVE-2024-6423 | 4.0 MEDIUM | WSO2 多款产品 URL 参数敏感数据泄露漏洞 |
| CVE-2025-0326 | WSO2 Identity Server 令牌撤销不当导致未授权访问 |
IV. Related Vulnerabilities
V. Comments for CVE-2024-7478
暂无评论