نحوه دور زدن احراز هویت JWT در WSO2 API Manager
بر اساس اطلاعیه امنیتی WSO2 در ماه می 2026، مهاجم می‌تواند با استفاده از توکنی که با یک الگوریتم پشتیبانی‌نشده امضا شده است، احراز هویت JWT را دور بزند و بدون مجوز به سامانه دسترسی پیدا کند.
WSO2 اعلام کرده است که سوءاستفاده موفق از این آسیب‌پذیری می‌تواند منجر به دسترسی غیرمجاز، دسترسی مهاجم به حساب‌های ادمین و در نهایت کنترل کامل حساب کاربری شود. در چنین شرایطی، مهاجم می‌تواند بدون داشتن اعتبارنامه معتبر، سطح دسترسی بالایی در WSO2 API Manager به دست آورد.
نسخه‌های تحت تأثیر و پچ‌های امنیتی
این آسیب‌پذیری محصولات و نسخه‌های زیر را تحت تأثیر قرار می‌دهد:
محصول | نسخه‌های تحت تأثیر |
WSO2 API Control Plane | 4.6.0 و 4.5.0 |
WSO2 API Manager | 4.6.0، 4.5.0، 4.4.0، 4.3.0، 4.2.0 و 4.1.0 |
WSO2 Traffic Manager | 4.6.0 و 4.5.0 |
WSO2 Universal Gateway | 4.6.0 و 4.5.0 |
برای کاربران نسخه‌های عمومی (Community)، پچ‌های امنیتی در قالب درخواست‌های Pull (Pull Request) زیر ارائه شده‌اند:
- github[.]com/wso2/carbon-apimgt/pull/13752
- github[.]com/wso2/product-apim/pull/14167
دارندگان اشتراک پشتیبانی WSO2 (Support Subscription) نیز می‌توانند پچ مربوط به نسخه مورد استفاده خود را از طریق بسته‌های به‌روزرسانی (Update Level) زیر دریافت کنند:
محصول | نسخه | بسته به‌روزرسانی (Update Level) |
WSO2 API Control Plane | 4.6.0 4.5.0 | 22 58 |
WSO2 API Manager | 4.6.0 4.5.0 4.4.0 4.3.0 4.2.0 4.1.0 | 21 57 72 108 197 257 |
WSO2 Traffic Manager | 4.6.0 4.5.0 | 21 56 |
WSO2 Universal Gateway | 4.6.0 4.5.0 | 21 57 |
مشاهده تلاش برای سوءاستفاده در حملات واقعی
به گفته پژوهشگران شرکت watchTowr، این آسیب‌پذیری اکنون در حملات واقعی مورد سوءاستفاده قرار گرفته است. شبکه هانی‌پات (Honeypot) این شرکت در 13 سپتامبر 2026، توکن‌های JWT ورودی را شناسایی کرد که از ابتدا دارای سطح دسترسی ادمین بودند.
پژوهشگران watchTowr توضیح داده‌اند که این ضعف به نحوه پردازش احراز هویت JWT مربوط می‌شود. سامانه توکن‌هایی را که با الگوریتم‌های پشتیبانی‌نشده امضا شده‌اند، معتبر تشخیص داده و اجازه ورود آن‌ها را صادر می‌کند. همین ضعف در WSO2 API Manager به مهاجم اجازه می‌دهد توکن‌های جعلی را به‌عنوان توکن‌های معتبر احراز هویت مورد پذیرش قرار دهد.
به گفته پژوهشگران، این ضعف امنیتی دلیل اصلی شدت بالای آسیب‌پذیری محسوب می‌شود و نسخه‌های 4.1.0 تا 4.6.0 API Manager و همچنین محصولات API Control Plane، Traffic Manager و Universal Gateway را تحت تأثیر قرار می‌دهد.
احتمال دسترسی به APIها و اطلاعات حساس
به گفته پژوهشگران، در این حملات احتمالاً مهاجمان از یک توکن JWT جعلی برای دسترسی به تمام Endpointهای بک‌اند (Backend) مربوط به APIها استفاده کرده باشند.
در چنین شرایطی، مهاجم می‌تواند به اعتبارنامه‌ها، کلیدهای شناسایی اپلیکیشن (Consumer Keys) و اطلاعات محرمانه مربوط به تمام اپلیکیشن‌های ثبت‌شده دسترسی پیدا کند.
این موضوع در WSO2 API Manager اهمیت زیادی دارد، زیرا این سرویس در مسیر ارتباط APIها با سامانه‌های داخلی قرار می‌گیرد و درخواست‌های ارسالی را رهگیری می‌کند. بنابراین، اگر مهاجم بتواند به این بخش دسترسی پیدا کند، ممکن است بتواند داده‌های حساس در حال انتقال (Data in Transit) را مشاهده یا سرقت کند و حتی به سرویس‌های داخلی متصل شود.
به گفته پژوهشگران، این قابلیت نوعی حرکت جانبی به‌عنوان سرویس (Lateral Movement-as-a-Service) ایجاد می‌کند؛ به این معنا که مهاجم می‌تواند پس از دسترسی اولیه، به سامانه‌ها و سرویس‌های داخلی دیگر دسترسی پیدا کند و دامنه نفوذ خود را به بخش‌های دیگر زیرساخت گسترش دهد.
ضرورت نصب فوری پچ امنیتی WSO2 API Manager
با توجه به مشاهده تلاش‌های فعال برای سوءاستفاده از این آسیب‌پذیری، کاربران محصولات تحت تأثیر باید پچ‌های امنیتی منتشرشده را در سریع‌ترین زمان ممکن نصب کنند. به‌روزرسانی نسخه مورد استفاده، احتمال سوءاستفاده موفق از این آسیب‌پذیری را کاهش می‌دهد و سطح امنیت سامانه‌های API را ارتقا می‌بخشد.
سازمان‌هایی که از نسخه‌های آسیب‌پذیر در محیط عملیاتی استفاده می‌کنند، باید ابتدا نسخه نصب‌شده و بسته به‌روزرسانی (Update Level) مربوط به آن را بررسی کرده و سپس پچ امنیتی مناسب را در سریع‌ترین زمان ممکن نصب کنند.
