咨询适配WSO2 IS 5.11的Carbon库修复CVE-2022-42889漏洞的升级版本

适配IS v5.11的Carbon库修复版本 #

针对你提到的三个Carbon库，WSO2已发布适配WSO2 IS v5.11的漏洞修复版本，具体如下：

• org.wso2.carbon.identity.mgt：升级至5.18.225
• org.wso2.carbon.identity.application.authentication.framework：升级至5.18.225
• org.wso2.carbon.identity.provisioning：升级至5.18.225

修复实施步骤 #

1. 更新自定义插件依赖 #

在自定义插件的pom.xml中，将对应库的版本替换为上述修复版本：

<groupId>org.wso2.carbon.identity.framework</groupId>
<artifactId>org.wso2.carbon.identity.mgt</artifactId>
<version>5.18.225</version>

<groupId>org.wso2.carbon.identity.framework</groupId>
<artifactId>org.wso2.carbon.identity.application.authentication.framework</artifactId>
<version>5.18.225</version>

<groupId>org.wso2.carbon.identity.framework</groupId>
<artifactId>org.wso2.carbon.identity.provisioning</artifactId>
<version>5.18.225</version>

重新构建并部署自定义插件。

2. 升级WSO2 IS 5.11二进制包中的库文件 #

• 停止WSO2 IS服务
• 替换<IS_HOME>/repository/components/plugins目录下的对应jar文件：
  • 替换org.wso2.carbon.identity.mgt_5.18.187.jar为org.wso2.carbon.identity.mgt_5.18.225.jar
  • 替换org.wso2.carbon.identity.application.authentication.framework_5.18.187.jar为org.wso2.carbon.identity.application.authentication.framework_5.18.225.jar
  • 替换org.wso2.carbon.identity.provisioning_5.18.187.jar为org.wso2.carbon.identity.provisioning_5.18.225.jar
• 清理<IS_HOME>/tmp和<IS_HOME>/work目录
• 重新启动WSO2 IS服务

修复验证 #

完成升级后，可通过以下方式确认漏洞已修复：

• 运行针对CVE-2022-42889的专业漏洞扫描工具，确认无漏洞告警
• 检查WSO2 IS服务日志，确保无相关错误或异常输出

内容的提问来源于stack exchange，提问作者Aakanksha