CVE-2025-9312

W domyślnych konfiguracjach mTLS dla System REST APIs oraz po włączeniu uwierzytelniania mTLS dla usług SOAP, komponenty te nieprawidłowo walidują uwierzytelnianie oparte na certyfikacie klienta. W efekcie interfejsy akceptują żądania bez wymuszania dodatkowego uwierzytelniania, mimo że mTLS jest formalnie włączony. Podatność wynika z nieprawidłowej egzekucji mechanizmu uwierzytelniania (CWE-306 — Missing Authentication for Critical Function). Warunkiem koniecznym do wykorzystania luki jest dostępność sieciowa dotkniętych przepływów mTLS w danym wdrożeniu.

Atakujący z dostępem sieciowym do podatnych endpointów może uzyskać uprawnienia administracyjne i wykonywać nieautoryzowane operacje na zasobach systemu, co zagraża poufności, integralności i dostępności całego środowiska.

Należy zastosować patche dostępne u producenta zgodnie z referencjami opublikowanymi pod adresem https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2025/WSO2-2025-4494/. Do czasu wdrożenia patcha zaleca się ograniczenie dostępu sieciowego do System REST APIs i endpointów SOAP na poziomie firewalla oraz weryfikację konfiguracji mTLS w posiadanych wdrożeniach.

WSO2 Open Banking AM, WSO2 Open Banking KM, WSO2 Traffic Manager, WSO2 Open Banking IAM, WSO2 Identity Server — wersje wskazane w referencjach producenta. Podatność dotyczy wyłącznie wdrożeń, w których włączone i dostępne są przepływy mTLS dla System REST APIs lub usług SOAP. Mechanizmy Mutual TLS OAuth oraz X.509 login flows, a także API serwowane przez API Gateway WSO2 API Manager, nie są podatne.

Podatność jest możliwa do wykorzystania wyłącznie wtedy, gdy w danym wdrożeniu włączone i dostępne sieciowo są przepływy mTLS dla System REST APIs lub usług SOAP — wdrożenia bez tych funkcji nie są narażone.