WSO2 API Manager-ийн JWT шалгалтыг тойрох эмзэг байдлыг халдлагад ашиглаж байна

watchTowr-ийн судлаачдын мэдээлснээр WSO2 API Manager бүтээгдэхүүний нэн хүнд зэрэглэлийн эмзэг байдлыг халдагчид бодит байдал дээр ашиглаж эхэлсэн байна. Халдлагын оролдлогууд аль хэдийн илэрсэн нь энэ эмзэг байдлыг зүгээр нэг теоретик сул тал гэж авч үзэх боломжгүй болгож байна.

CVE-2026-5430 дугаараар бүртгэгдсэн, CVSS-ийн 10 онооноос 9.8 оноо авсан энэхүү эмзэг байдал нь криптографийн гарын үсгийг зохих журмаар шалгаагүйгээс үүдэлтэй. Улмаар халдагч бусдын хэрэглэгчийн эрхийг бүрэн авах (account takeover) боломж бүрддэг. Эмзэг байдлыг Hacktron Team нээж, үйлдвэрлэгчид мэдээлсэн гэж дурдсан.

Асуудлын гол цөм нь JWT (JSON Web Token) баталгаажуулалт юм. JWT бол хэрэглэгчийн хэн болохыг нотлох, дотроо эрхийн талаарх мэдээллийг агуулсан, криптографийн гарын үсгээр битүүмжилсэн жижиг токен. Сервер токеныг хүлээн авахдаа гарын үсгийг өөрийн мэдэх нийтийн эсвэл нийтлэг түлхүүрээр шалгаж, агуулга нь хуурамчаар өөрчлөгдөөгүй эсэхийг батлах ёстой.

Хэрэв гарын үсгийн шалгалт зөв хийгдээгүй бол халдагч токены агуулгыг өөрөө бичиж, жишээ нь өөрийгөө админ эрхтэй хэрэглэгч хэмээн танилцуулсан "хуурамч" токен үүсгэх боломжтой болно. Систем үүнийг хүчин төгөлдөр гэж хүлээн авбал нэвтрэх нэр, нууц үг шаардахгүйгээр өндөр эрхтэй хандалт олгоно.

API Manager төрлийн бүтээгдэхүүн байгууллагын дотоод болон гадаад үйлчилгээний API-уудыг нэг цонхоор удирдаж, хандалтыг хянадаг тул онцгой эмзэг тал болдог. Ийм систем нь бусад аппликейшн, мэдээллийн сангуудын хооронд зуучилдаг учир нэг дор эрх авсан халдагч цаашид өргөн хүрээнд түгэх магадлалтай.

CVSS 9.8 оноо гэдэг нь эмзэг байдал сүлжээгээр, нэвтрэлт шаардахгүйгээр, харьцангуй хялбар ашиглагдах боломжтой байж, нөлөө нь нууцлал, бүрэн бүтэн байдал, хүртээмжид гүнзгий байгааг илэрхийлдэг. Ийм зэрэглэлийн эмзэг байдал бодит халдлагад ашиглагдаж эхэлсэн тохиолдолд засварыг хойшлуулах нь өндөр эрсдэлтэй.

Тиймээс WSO2 API Manager ашигладаг байгууллагууд үйлдвэрлэгчийн гаргасан засварт аль болох хурдан шилжиж, түүнчлэн сүүлийн үеийн лог бүртгэлээ эргэн харах нь зүйтэй. Ялангуяа хэвийн бус админ хандалт, санамсаргүй цагт үүссэн эрхийн өөрчлөлт, танигдаагүй токеноор хийгдсэн хүсэлтүүдэд анхаарал хандуулах хэрэгтэй.

Урт хугацааны хувьд JWT-д тулгуурласан баталгаажуулалт хэрэглэдэг бүх систем гарын үсгийн алгоритмыг хүчээр тогтоох, хүлээн авах түлхүүрүүдийг хязгаарлах, токены хүчинтэй хугацааг багасгах зэрэг сайн туршлагыг дагах нь ийм төрлийн тойрон гарах халдлагын эрсдэлийг мэдэгдэхүйц бууруулдаг.