Lỗi bypass kiểm tra thuật toán JWT cho phép chiếm quyền tài khoản trong WSO2 API Manager và các sản phẩm liên quan

Cơ chế xác thực JWT chấp nhận các token được ký bằng những thuật toán khác với các thuật toán được cấu hình hoặc hỗ trợ một cách rõ ràng. Điều này cho phép kẻ tấn công tạo một JWT bằng thuật toán không được hỗ trợ, sau đó token bị xác thực sai, dẫn đến truy cập trái phép. Khai thác thành công lỗ hổng này có thể dẫn đến truy cập trái phép vào hệ thống, bao gồm khả năng xâm phạm các tài khoản quản trị và chiếm toàn bộ tài khoản. Điểm CVSS được điều chỉnh thành 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) trong các triển khai single-tenant, phản ánh rằng tác động được giới hạn trong một security authority boundary duy nhất.

• WSO2 Universal Gateway: 4.5.0, nhỏ hơn 4.5.0.57; 4.6.0, nhỏ hơn 4.6.0.21. Default status của sản phẩm là unaffected ngoài các phạm vi được liệt kê.
• WSO2 Traffic Manager: 4.5.0, nhỏ hơn 4.5.0.56; 4.6.0, nhỏ hơn 4.6.0.21. Default status của sản phẩm là unaffected ngoài các phạm vi được liệt kê.
• WSO2 API Control Plane: 4.5.0, nhỏ hơn 4.5.0.58; 4.6.0, nhỏ hơn 4.6.0.22. Default status của sản phẩm là unaffected ngoài các phạm vi được liệt kê.
• WSO2 API Manager: 4.1.0, nhỏ hơn 4.1.0.257; 4.2.0, nhỏ hơn 4.2.0.197; 4.3.0, nhỏ hơn 4.3.0.108; 4.4.0, nhỏ hơn 4.4.0.72; 4.5.0, nhỏ hơn 4.5.0.57; 4.6.0, nhỏ hơn 4.6.0.21. Default status của sản phẩm là unaffected ngoài các phạm vi được liệt kê.
• WSO2 Carbon API Manager Rest API Utility, package org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.rest.api.util: 9.20.74, nhỏ hơn 9.20.74.401; 9.28.116, nhỏ hơn 9.28.116.417; 9.29.120, nhỏ hơn 9.29.120.236; 9.30.67, nhỏ hơn 9.30.67.167; 9.31.86, nhỏ hơn 9.31.86.158; 9.32.147, nhỏ hơn 9.32.147.59. Default status của package này là unknown.

Các nhánh hoặc trạng thái không được liệt kê không được bản ghi xác nhận là không bị ảnh hưởng.

Lỗi nằm trong cơ chế xác thực JWT được các sản phẩm WSO2 bị ảnh hưởng sử dụng. Kẻ tấn công có thể tạo một JWT sử dụng thuật toán ký không được cấu hình rõ ràng hoặc không được hỗ trợ, nhưng cơ chế xác thực vẫn chấp nhận và xác thực sai token đó. Kết quả là cơ chế xác thực có thể bị bypass và cấp quyền truy cập trái phép. Bản ghi cho thấy lỗ hổng có thể bị khai thác qua mạng, không yêu cầu quyền trước đó, có độ phức tạp thấp và không cần tương tác của người dùng, nhưng không xác định endpoint hoặc trường cụ thể của token. Chi tiết triển khai chính xác, chẳng hạn hành vi của thư viện validation hoặc đoạn mã lựa chọn thuật toán, chưa được công bố trong bằng chứng hiện có. Bản ghi được ánh xạ tới CWE-347, trong khi mô tả cụ thể của advisory là việc chấp nhận thuật toán không được hỗ trợ trong quá trình xác thực JWT.

Lỗ hổng có thể bị khai thác từ xa qua mạng đối với các luồng xác thực JWT có thể truy cập được. Theo các thuộc tính khai thác trong bản ghi, cuộc tấn công không yêu cầu xác thực trước, có độ phức tạp thấp và không cần người dùng tương tác. Bản ghi được cung cấp đánh dấu lỗ hổng là đã bị khai thác và có public exploit. Bản ghi không nêu tên chiến dịch, nạn nhân, malware hoặc indicator cụ thể nào. Không nên suy luận rằng một hệ thống cụ thể đã bị xâm nhập chỉ từ trạng thái khai thác này.

Lỗi cho phép bypass xác thực JWT và có thể biến một request không có quyền thành phiên truy cập trái phép. Hậu quả được mô tả bao gồm khả năng chiếm tài khoản quản trị và full account takeover, nên mức quyền của tài khoản bị giả mạo có thể quyết định phạm vi tài nguyên bị ảnh hưởng. Tác động tiềm tàng bao gồm mất bí mật dữ liệu, thay đổi dữ liệu hoặc cấu hình, và gián đoạn dịch vụ. Bản ghi mô tả scope là changed trong đánh giá tổng quát, trong khi triển khai single-tenant được nêu là bị giới hạn trong một security authority boundary. Endpoint, luồng nghiệp vụ cụ thể và khả năng vượt qua ranh giới tenant trong từng cấu hình chưa được xác định.

Khai thác thành công có thể cho phép truy cập trái phép vào hệ thống WSO2, bao gồm khả năng xâm phạm tài khoản quản trị và chiếm toàn bộ tài khoản. Tùy quyền của tài khoản bị giả mạo, tác động có thể bao gồm truy cập dữ liệu, thay đổi cấu hình hoặc tài nguyên API, và ảnh hưởng đến hoạt động cung cấp dịch vụ. Đánh giá tác động trong bản ghi bao phủ các hậu quả nghiêm trọng đối với tính bí mật, toàn vẹn và khả dụng của hệ thống. Trong triển khai single-tenant, tác động được mô tả là nằm trong một security authority boundary duy nhất; bản ghi không xác nhận rằng một tổ chức hoặc hệ thống cụ thể đã bị xâm phạm.

1. Ưu tiên cập nhật các sản phẩm WSO2 bị ảnh hưởng lên update level tương ứng của từng nhánh:

• WSO2 API Control Plane: 4.5.0 update level 58; 4.6.0 update level 22.
• WSO2 API Manager: 4.1.0 update level 257; 4.2.0 update level 197; 4.3.0 update level 108; 4.4.0 update level 72; 4.5.0 update level 57; 4.6.0 update level 21.
• WSO2 Traffic Manager: 4.5.0 update level 56; 4.6.0 update level 21.
• WSO2 Universal Gateway: 4.5.0 update level 57; 4.6.0 update level 21.

1. Đối với người dùng Community hoặc Open Source, áp dụng các public fix tương ứng của WSO2 cho sản phẩm đang sử dụng. Nếu không thể áp dụng fix hoặc update, thực hiện migration sang phiên bản không bị ảnh hưởng theo hướng dẫn của WSO2.
2. Đối với package org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.rest.api.util, đưa package ra khỏi các phạm vi bị ảnh hưởng bằng các boundary release tương ứng: 9.20.74.401, 9.28.116.417, 9.29.120.236, 9.30.67.167, 9.31.86.158 hoặc 9.32.147.59, tùy nhánh đang triển khai. Do advisory của vendor không liệt kê riêng package này trong bảng update level, cần xác nhận artifact và khả năng tương thích với WSO2 trước khi triển khai.
3. Sau khi cập nhật, xác minh trong môi trường kiểm soát rằng cơ chế JWT chỉ chấp nhận các thuật toán đã được cấu hình hoặc hỗ trợ, đồng thời rà soát các truy cập và thay đổi tài khoản bất thường trong thời gian hệ thống còn dễ bị tấn công.

1. Kiểm kê các triển khai WSO2 API Manager, WSO2 API Control Plane, WSO2 Traffic Manager, WSO2 Universal Gateway và package org.wso2.carbon.apimgt:org.wso2.carbon.apimgt.rest.api.util, sau đó đối chiếu phiên bản hoặc update level với các phạm vi trong phần affected_summary.
2. Kiểm tra cấu hình và logic xác thực JWT để xác nhận rằng chỉ các thuật toán được cấu hình và hỗ trợ mới được chấp nhận.
3. Nếu hệ thống ghi nhận thuật toán JWT trong audit log hoặc authentication log, rà soát các token sử dụng thuật toán bất ngờ hoặc không nằm trong allow-list. Đây là biện pháp rà soát thận trọng, không phải một IOC đã được vendor xác nhận.
4. Rà soát các phiên đăng nhập bất thường, thay đổi tài khoản quản trị và hoạt động quản trị không được giải thích trong thời gian các bản cài đặt còn nằm trong phạm vi ảnh hưởng.
5. Sau khi cập nhật, thực hiện kiểm tra xác minh trong môi trường kiểm soát để bảo đảm token dùng thuật toán không được hỗ trợ bị từ chối. Bản ghi không cung cấp tên sự kiện log hoặc indicator sản phẩm cụ thể.