CVE-2025-2905（CVSS 9.1）：WSO2 API 管理器中发现严重 XXE 漏洞

柠檬赏金猎人 2025-05-07 13:26

📌 漏洞摘要

---

****

漏洞编号	CVE-2025-2905
CVSS评分	9.1 (高危)
影响版本	WSO2 API Manager ≤2.0.0
漏洞类型	XML外部实体注入(XXE)
攻击复杂度	低
所需权限	无需认证

### 🔍 漏洞成因

- 网关组件对URL路径中的XML输入验证不足
- XML解析器配置允许处理外部实体
- 未禁用DTD(Document Type Definition)解析

⚡ 数据包样例

POST /gateway HTTP/1.1
Host: vulnerable-server
Content-Type: application/xml

<!DOCTYPE foo [ 
  <!ENTITY xxe SYSTEM "file:///etc/passwd"> 
]>
<request>&xxe;</request>

📁 文件读取能力对比

JDK版本	可读取内容	风险等级
JDK ≤7	完整文件内容	🔴 严重
JDK 8+	仅文件首行	🟠 高危

⚠️ 其他风险

•服务器端请求伪造(SSRF)
•拒绝服务攻击(DoS)
•内网端口扫描

🔧 官方补丁

1. 确认已安装WSO2-2016-0151补丁：
   • 补丁下载：https://wso2.com/security-patch-releases
   • 安装指南：`bin/wso2update_linux apply WSO2-2016-0151`

2. 升级到最新安全版本：
   • 当前稳定版：WSO2 API Manager 4.1.0

⚙️ 临时缓解措施

<!-- repository/conf/security/xxe-security.xml -->
<xxeConfig>
    <enableProtection>true</enableProtection>
    <disallowDocTypeDecl>true</disallowDocTypeDecl>
</xxeConfig>

仅限交流学习使用，如您在使用本工具或代码的过程中存在任何非法行为，您需自行
承担相应后果，我们将不承担任何法律及连带责任。
“如侵权请私聊公众号删文”。