无WSO2支持订阅时删除FileUploadConfig能否防御CVE-2022-29464漏洞

首先给出明确结论：仅删除<product_home>/conf/carbon.xml中的<FileUploadConfig>映射配置，不足以完全防御CVE-2022-29464的远程代码执行风险。
该漏洞的核心问题是WSO2全系列产品内置的文件上传组件存在未授权访问+路径遍历缺陷，你提到的配置删除操作，仅能拦截依赖该配置路由规则的常规上传请求，目前已公开的在野利用POC已经可以绕过该配置限制，直接调用底层暴露的上传Servlet完成恶意文件写入，仅做这一步配置修改的服务器依然存在被打穿的可能。

针对你方使用无官方支持的WSO2 EI 6.4.0/6.5.0版本场景，需补充以下防护措施：

• 前置流量拦截：在WSO2服务前端的反向代理、WAF设备上配置访问规则，直接阻断所有外部来源对/fileupload/*路径的访问请求，同时拦截请求体、请求参数中携带../路径遍历特征、jsp/jspx/jspx等webshell后缀特征的上传类请求。
• 彻底禁用危险上传组件：除修改carbon.xml配置外，需编辑<product_home>/repository/conf/tomcat/carbon/WEB-INF/web.xml文件，注释掉所有和FileUploadServlet、AnyFileUploadServlet相关的servlet映射配置，修改完成后重启服务，验证业务侧正常功能不受影响。
• 存量入侵排查：检查服务器上<product_home>/repository/deployment/server/webapps/、<product_home>/tmp/、<product_home>/repository/resources/security/目录下近3个月新增的jsp、jspx、class类可执行文件，同时回溯WSO2服务访问日志，排查是否存在异常的/fileupload/路径访问记录，若发现恶意文件第一时间断网隔离做应急处置。
• 长期防护加固：因无官方支持订阅无法获取正式安全补丁，禁止将WSO2 EI的管理类接口直接暴露在公网，在前端部署零信任访问控制策略，仅允许授信业务IP访问相关服务端口，条件允许时尽快迁移至已修复该漏洞的受支持版本。

所有配置修改操作执行前，请全量备份WSO2产品目录与相关配置文件，先在测试环境验证业务兼容性后再推送至生产环境。

内容的提问来源于stack exchange，提问作者Justin