🔓 WSO2 Auth Bypass: เมื่อ regex กลายเป็นจุดอ่อนของระบบ WSO2 เจอช่องโหว่ร้ายแรง: แฮกเกอร์สามารถข้ามการยืนยันตัวตนและเข้าถึงสิทธิ์ผู้ดูแลระบบได้ทันที นักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ 3 รายการใน WSO2 API Manager และ Identity Server ที่เปิดทางให้ผู้โจมตีเข้าถึงระบบโดยไม่ต้องยืนยันตัวตน พร้อมความเสี่ยงในการขโมยข้อมูลและรันโค้ดจากระยะไกล นักวิจัย Crnkovic ได้เปิดเผยช่องโหว่ร้ายแรง 3 รายการ ได้แก่ CVE-2025-9152, CVE-2025-10611, และ CVE-2025-9804 โดยแต่ละรายการมีคะแนน CVSS สูงถึง 9.8 ซึ่งถือว่าอยู่ในระดับ “วิกฤต” และสามารถใช้โจมตีจากระยะไกลโดยไม่ต้องยืนยันตัวตน จุดอ่อนหลักมาจากการใช้ regex ในการกำหนดสิทธิ์เข้าถึง ที่แยกออกจากตรรกะของแอปพลิเคชัน ทำให้เกิดช่องโหว่หลายรูปแบบ เช่น: 🪲 การใช้เครื่องหมาย / เพื่อหลบเลี่ยง regex 🪲 การใช้ HTTP method แบบตัวพิมพ์เล็ก เช่น “Post” แทน “POST” 🪲 การใช้ path ที่ถูก normalize โดย Java เพื่อหลบเลี่ยงการตรวจสอบ ตัวอย่างการโจมตี: 🪲 เข้าถึง endpoint /keymanager-operations/dcr/register/<client_id> เพื่อขโมย OAuth client secrets 🪲 ใช้ HTTP method “Post” เพื่อหลบเลี่ยงการตรวจสอบสิทธิ์ 🪲 ใช้ URL encoding เพื่อเข้าถึง endpoint ที่ควรต้องมีการยืนยันตัวตน เช่น /scim2/Users ช่องโหว่ CVE-2025-9804 ยังเปิดทางให้ผู้ใช้ระดับต่ำสามารถสร้างบัญชีและยกระดับสิทธิ์เป็นผู้ดูแลระบบได้ทันที หากระบบเปิดให้สมัครสมาชิกด้วยตนเอง WSO2 ได้ออกแพตช์แก้ไขแล้ว แต่ Crnkovic เตือนว่า “การใช้ regex ในการควบคุมสิทธิ์เป็นแนวทางที่มีความเสี่ยงสูง” และควรหลีกเลี่ยงในระบบที่ต้องการความปลอดภัยระดับสูง https://securityonline.info/researcher-details-critical-authentication-bypasses-in-wso2-api-manager-and-identity-server/