یک نقص امنیتی با شناسه CVE-2024-9517 در محصولات شرکت WSO2 شناسایی شده است که مربوط به نحوه مدیریت توکن‌ها در فرآیند احراز هویت است. این آسیب‌پذیری در بخش refresh token grant type رخ می‌دهد و باعث می‌شود سیستم پیش از صدور توکن‌های دسترسی جدید، وضعیت فعلی حساب کاربری را مجدداً بررسی نکند.
جزئیات فنی و تحلیل
در حالت عادی، زمانی که یک حساب کاربری توسط مدیر سیستم یا Store کاربر مسدود (Blocked) می‌شود، تمامی دسترسی‌های آن باید بلافاصله قطع گردد. اما در این مورد، به دلیل عدم اعتبارسنجی مجدد (Re-validation) در هنگام درخواست توکن جدید، مهاجم می‌تواند از یک Refresh Token معتبر برای دریافت Access Token جدید استفاده کند، حتی اگر حساب کاربری مربوطه در حال حاضر مسدود شده باشد.
پیامدهای امنیتی
- دور زدن مکانیسم‌های Lockout: مهاجمان می‌توانند محدودیت‌های اعمال شده بر روی حساب‌های مسدود شده را نادیده بگیرند.
- دسترسی غیرمجاز: امکان دسترسی به منابع و داده‌های حساس مرتبط با حساب‌های کاربری مسدود شده فراهم می‌شود.
- ارتقاء سطح دسترسی (Privilege Escalation): در برخی سناریوها، این نقص می‌تواند به مهاجم اجازه دهد تا عملیاتی را از طرف کاربران مسدود شده انجام داده و به طور بالقوه سطح دسترسی خود را افزایش دهد.
