WSO2 JWT 인증 우회 및 관리자 권한 탈취 취약점 (CVE-2026-5430) 보안 권고
실무자 핵심 요약 (Executive Summary)
SECOPS ASSESSMENTWSO2 Identity Server, API Manager 등 JWT 인증 메커니즘을 사용하는 주요 제품군
공격자가 조작된 JWT 토큰을 통해 인증을 우회하고 관리자 계정을 포함한 모든 계정의 권한을 탈취할 수 있음
제조사 공식 보안 패치를 즉시 적용하고 JWT 알고리즘 검증 정책을 화이트리스트 방식으로 강화
영향받는 제품 및 버전 범위
권장 패치 및 임시 완화(Workaround) 가이드
PATCH & WORKAROUND- 최신 보안 패치 적용: WSO2 보안 공고(WSO2-2026-5328)에 따라 제품별 최신 업데이트를 설치하십시오.
- JWT 알고리즘 제한: 인증 설정에서
none알고리즘을 명시적으로 차단하고,RS256등 안전한 비대칭키 알고리즘만 허용하도록 구성하십시오. - WAF 탐지 규칙 추가: HTTP 헤더의 JWT 토큰 내
"alg":"none"또는 비정상적인 알고리즘 패턴을 탐지 및 차단하십시오.
# WSO2 Update Tool을 이용한 패치 예시
./wso2update_linux --product identity-server --version 5.11.0코드 수정 전에도 가상 패치(Virtual Patching)로 웹 공격을 즉시 차단하세요
서버 재시작이나 긴급 패치가 어려운 운영 환경이라면 클라우드 WAF 관리형 룰셋을 활성화하여 SQLi, RCE, XSS 익스플로잇 페이로드를 엣지에서 1분 만에 차단할 수 있습니다.
취약점 발생 원리 및 공격 메커니즘
본 취약점은 WSO2 제품의 JWT(JSON Web Token) 인증 메커니즘이 명시적으로 구성되지 않았거나 보안상 취약한 서명 알고리즘을 거부하지 못하는 설계 결함(CWE-347)에서 비롯됩니다. 공격자는 JWT 헤더의 'alg' 필드를 조작하여 서명 검증 과정을 무력화하거나, 취약한 알고리즘을 사용하여 유효한 토큰으로 오인하게 만들 수 있습니다. 특히 CISA KEV(Known Exploited Vulnerabilities)에 등재되어 실제 공격에 악용되고 있음이 확인되었으며, EPSS 점수가 0.94에 달해 매우 높은 공격 가능성을 시사합니다. 단일 테넌트 환경에서도 CVSS 9.8의 치명적인 위험도를 가집니다.
공식 보안 권고문 및 참조 링크
The JWT authentication mechanism accepts tokens signed with algorithms other than those explicitly configured or supported. This allows an attacker to craft a JWT with an unsupported algorithm, which is then incorrectly validated, leading to unauthorized access. Successful exploitation of this vulnerability may result in unauthorized access to the system, including the potential compromise of administrative accounts and full account takeover. The CVSS score is adjusted to 9.8 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) in single-tenant deployments, reflecting that the impact is contained within a single security authority boundary.
일간 취약점 브리핑 및 긴급 Zero-Day 경보 구독
보안 실무자와 인프라·백엔드 엔지니어를 위해 매일 아침 주요 취약점과 패치 우선순위를 요약해 발송합니다.