Lộ PII giữa tenant do lỗi cô lập trong luồng xác thực WSO2 Identity Server

Hệ thống chấp nhận các yêu cầu xác thực mà không có đủ bước kiểm tra để thực thi việc cô lập tenant khi Email OTP, SMS OTP hoặc Magic Link được dùng làm bộ xác thực yếu tố đầu tiên. Việc không tách biệt đầy đủ dữ liệu người dùng giữa các tenant có thể dẫn đến lộ thông tin nhận dạng cá nhân. Khai thác thành công cho phép kẻ tấn công tiết lộ thông tin nhận dạng cá nhân của người dùng ở các tenant khác, gây vi phạm quyền riêng tư và có khả năng không tuân thủ quy định. Thông tin này có thể bao gồm quyền truy cập trái phép vào các chi tiết người dùng như số điện thoại di động.

• WSO2 Identity Server có default_status: unaffected; các nhánh bị ảnh hưởng là 7.0.0 với điều kiện lessThan: 7.0.0.134 và 7.1.0 với điều kiện lessThan: 7.1.0.42.
• WSO2 Carbon Identity Application Authentication Framework có default_status: unknown; các nhánh bị ảnh hưởng là 7.0.78 với điều kiện lessThan: 7.0.78.162 và 7.8.23 với điều kiện lessThan: 7.8.23.66.
• WSO2 Carbon MagicLink Authenticator Module có default_status: unknown; các nhánh bị ảnh hưởng là 1.1.22 với điều kiện lessThan: 1.1.22.6 và 1.1.31 với điều kiện lessThan: 1.1.31.3.
• WSO2 Carbon Abstract OTP Authenticator có default_status: unknown; các nhánh bị ảnh hưởng là 1.0.5 với điều kiện lessThan: 1.0.5.4 và 1.0.10 với điều kiện lessThan: 1.0.10.1.
• Email OTP Authenticator có default_status: unknown; nhánh bị ảnh hưởng là 1.0.30 với điều kiện lessThan: 1.0.30.4.
• Bản ghi không cho phép suy ra trạng thái an toàn cho mọi nhánh song song hoặc phiên bản không được liệt kê, đặc biệt với các thành phần có default_status: unknown.

WSO2 Identity Server và các thành phần xác thực liên quan không kiểm tra đầy đủ yêu cầu xác thực để ràng buộc yêu cầu với đúng tenant khi Email OTP, SMS OTP hoặc Magic Link được dùng làm yếu tố xác thực đầu tiên. Trong triển khai multi-tenant, lỗi này phá vỡ tenant isolation và có thể cho phép tiết lộ PII của người dùng thuộc tenant khác. Điều kiện khai thác được ghi nhận là dịch vụ xác thực có thể truy cập qua mạng, kẻ tấn công có quyền hạn thấp, không cần người dùng tương tác và có độ phức tạp tấn công thấp. Bản ghi xác định các lớp gồm WSO2 Carbon Identity Application Authentication Framework, WSO2 Carbon MagicLink Authenticator Module, WSO2 Carbon Abstract OTP Authenticator và Email OTP Authenticator, nhưng không chỉ rõ endpoint, trường yêu cầu, token hoặc nhánh kiểm tra tenant cụ thể bị lỗi. Điểm yếu được phân loại là CWE-20 và CWE-200.

• Khả năng tiếp cận: Có thể khai thác qua mạng đối với dịch vụ xác thực bị ảnh hưởng.
• Quyền hạn: Bản ghi yêu cầu quyền hạn thấp; không mô tả chi tiết loại tài khoản hoặc quyền tối thiểu cần có.
• Tương tác và độ phức tạp: Không cần người dùng tương tác và độ phức tạp tấn công được đánh giá là thấp.
• Trạng thái khai thác: Bản ghi đánh dấu không có public exploit, nhưng known_exploited là chưa xác định. Không có chiến dịch, nạn nhân, exploit cụ thể hoặc IOC nào được nêu.

Tác động kỹ thuật được xác nhận là tiết lộ PII xuyên tenant trong luồng xác thực multi-tenant. Kẻ tấn công cần quyền hạn thấp nhưng không cần người dùng tương tác, vì vậy một tài khoản bị xâm phạm hoặc tài khoản có quyền hạn hạn chế vẫn có thể trở thành điểm khởi đầu để kiểm tra hệ thống. Dữ liệu bị lộ có thể bao gồm thông tin người dùng như số điện thoại di động, tạo ra rủi ro riêng tư và nghĩa vụ điều tra trên nhiều tenant. Bản ghi không cho thấy khả năng sửa đổi dữ liệu, chiếm quyền quản trị, đánh cắp thông tin xác thực hoặc gây gián đoạn dịch vụ; không nên suy diễn các kết quả đó.

• Bảo mật dữ liệu: PII có thể bị tiết lộ vượt qua ranh giới tenant, làm suy yếu cam kết cô lập dữ liệu giữa khách hàng hoặc đơn vị sử dụng chung hệ thống.
• Dữ liệu có thể lộ: Thông tin người dùng, trong đó có thể bao gồm số điện thoại di động.
• Tuân thủ: Sự cố có thể dẫn đến vi phạm quyền riêng tư và nguy cơ không tuân thủ yêu cầu pháp lý hoặc quy định bảo vệ dữ liệu.
• Giới hạn tác động: Bản ghi chỉ xác nhận tác động đến tính bí mật; không xác định việc sửa đổi dữ liệu hoặc làm gián đoạn dịch vụ.

1. Cập nhật WSO2 Identity Server: Với nhánh 7.1.0, áp dụng update level 42, tương ứng với ranh giới 7.1.0.42; với nhánh 7.0.0, áp dụng update level 134, tương ứng với ranh giới 7.0.0.134.
2. Cập nhật các thành phần xác thực: Áp dụng các bản sửa lỗi WSO2 tương ứng cho WSO2 Carbon Identity Application Authentication Framework, WSO2 Carbon Abstract OTP Authenticator, Email OTP Authenticator và WSO2 Carbon MagicLink Authenticator Module.
3. Đối chiếu artifact và nhánh đang cài đặt với các ranh giới trong affected_summary; không coi một bản sửa cho một nhánh là bằng chứng rằng các nhánh khác đã an toàn.
4. Nếu chưa thể áp dụng bản sửa, thực hiện phương án vendor nêu là chuyển sang phiên bản sản phẩm được xác định là không bị ảnh hưởng. Bản ghi không cung cấp một phiên bản cố định duy nhất cho mọi nhánh thành phần song song.
5. Bản ghi và advisory không nêu một temporary mitigation cụ thể thay thế cho việc cập nhật hoặc chuyển sang phiên bản không bị ảnh hưởng.

1. Kiểm kê các triển khai WSO2 Identity Server và các artifact xác thực WSO2 liên quan, đồng thời xác định hệ thống nào đang chạy multi-tenant.
2. Ghi nhận các first-factor authenticator đang bật, đặc biệt là Email OTP, SMS OTP và Magic Link.
3. Đối chiếu phiên bản thực tế của máy chủ, framework và từng authenticator với các nhánh bị ảnh hưởng trong affected_summary; không chỉ kiểm tra phiên bản sản phẩm tổng thể.
4. Rà soát audit log và telemetry xác thực để tìm các phiên đăng nhập hoặc yêu cầu từ tài khoản có quyền thấp có dấu hiệu nhận dữ liệu người dùng thuộc tenant khác, đặc biệt là số điện thoại di động. Đây là biện pháp rà soát phòng ngừa, không phải IOC đã được vendor xác nhận.
5. Việc không thấy sự kiện đáng ngờ trong log không chứng minh hệ thống an toàn, vì bản ghi không cung cấp log event bắt buộc hoặc IOC cụ thể.