CVE-2026-5430: Kritische JWT-Auth-Lücke in WSO2 API Manager

Zusammenfassung

Die Schwachstelle CVE-2026-5430 (WSO2-2026-5328) betrifft den JWT-Authentifizierungsmechanismus von WSO2 API Manager, API Control Plane, Universal Gateway, Traffic Manager sowie der Carbon API Manager Rest API Utility. Der Mechanismus akzeptiert Token, die mit anderen als den explizit konfigurierten oder unterstützten Algorithmen signiert sind. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff kann dadurch ein manipuliertes JWT erstellen, das fälschlicherweise validiert wird.

Die Schwachstelle wird mit CVSS 10.0 als Critical eingestuft. In Single-Tenant-Deployments ist der Score mit 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) bewertet. Eine erfolgreiche Ausnutzung kann zu unautorisiertem Systemzugriff, Kompromittierung von administrativen Konten und vollständiger Kontoübernahme führen. WSO2 hat Sicherheitsupdates bereitgestellt, ein sofortiges Patchen wird dringend empfohlen.

Technische Details

• CVE-ID: CVE-2026-5430
• WSO2 Advisory: WSO2-2026-5328
• Hersteller: WSO2
• CVSS Score: 10.0 Critical, 9.8 in Single-Tenant-Deployments (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H)
• Severity: Critical
• Angriffsvektor: Netzwerk (AV:N), niedrige Komplexität (AC:L), keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N) erforderlich
• Schwachstellenklasse: Fehlerhafte JWT-Algorithmus-Validierung (Algorithm Confusion / Improper Verification of Cryptographic Signature)

Der JWT-Authentifizierungsmechanismus prüft den alg-Header nicht strikt gegen eine Allowlist der konfigurierten Algorithmen. Ein Angreifer kann ein JWT mit einem nicht unterstützten Algorithmus erstellen, das dennoch als gültig akzeptiert wird. Dadurch wird die Authentifizierung umgangen und es kann auf geschützte REST-APIs und Management-Funktionen zugegriffen werden, einschließlich der Übernahme von administrativen Konten.

Betroffene Systeme

• WSO2 Carbon API Manager Rest API Utility 9.30.67 < 9.30.67.167
• WSO2 API Manager 4.1.0 < 4.1.0.257
• WSO2 Carbon API Manager Rest API Utility 9.32.147 < 9.32.147.59
• WSO2 Carbon API Manager Rest API Utility 9.29.120 < 9.29.120.236
• WSO2 API Control Plane 4.5.0 < 4.5.0.58
• WSO2 API Manager 4.2.0 < 4.2.0.197
• WSO2 API Manager 4.3.0 < 4.3.0.108
• WSO2 Carbon API Manager Rest API Utility 9.31.86 < 9.31.86.158
• WSO2 Carbon API Manager Rest API Utility 9.20.74 < 9.20.74.401
• WSO2 Universal Gateway 4.5.0 < 4.5.0.57
• WSO2 Universal Gateway 4.6.0 < 4.6.0.21
• WSO2 API Manager 4.5.0 < 4.5.0.57
• WSO2 API Control Plane 4.6.0 < 4.6.0.22
• WSO2 API Manager 4.4.0 < 4.4.0.72
• WSO2 Traffic Manager 4.5.0 < 4.5.0.56
• WSO2 Carbon API Manager Rest API Utility 9.28.116 < 9.28.116.417
• WSO2 API Manager 4.6.0 < 4.6.0.21
• WSO2 Traffic Manager 4.6.0 < 4.6.0.21

Empfehlungen und Maßnahmen

1. Sofort patchen: Aktualisieren Sie alle betroffenen WSO2-Produkte auf die im Advisory WSO2-2026-5328 genannte fixierte Version oder höher (z. B. API Manager 4.1.0 auf 4.1.0.257, 4.2.0 auf 4.2.0.197, 4.3.0 auf 4.3.0.108, 4.4.0 auf 4.4.0.72, 4.5.0 auf 4.5.0.57, 4.6.0 auf 4.6.0.21). Beziehen Sie Updates über WSO2 Updates / U2.
2. Workaround prüfen: Falls ein sofortiges Update nicht möglich ist, schränken Sie den Netzwerkzugriff auf Management- und Admin-APIs per Firewall, WAF und IP-Allowlisting ein und deaktivieren Sie exponierte Endpunkte.
3. Kompromittierung prüfen: Prüfen Sie Logs für Authentifizierungs-, JWT- und Admin-Aktivitäten auf Anomalien, unbekannte Token, neue Admin-Benutzer und ungewöhnliche API-Aufrufe. Setzen Sie im Verdachtsfall alle Tokens und Credentials zurück.
4. Härtung: Erzwingen Sie eine strikte Allowlist für JWT-Algorithmen, prüfen Sie Key-Management und rotieren Sie Signaturschlüssel.
5. Monitoring: Aktivieren Sie zentrales Logging und Alerting für Authentifizierungsfehler und privilegierte Aktionen.

Quellen

• https://security.docs.wso2.com/en/latest/security-announcements/security-advisories/2026/WSO2-2026-5328/