Kritische WSO2 API Manager JWT-Schwachstelle wird aktiv angegriffen
Eine kritische Sicherheitslücke im WSO2 API Manager wird laut Erkenntnissen von watchTowr derzeit aktiv in freier Wildbahn ausgenutzt. WSO2 API Manager ist eine Plattform, die vor Backend-Diensten sitzt und jede API-Anfrage prüft, und JWT (JSON Web Token) ist ein kleiner digitaler Pass, mit dem nachgewiesen wird, wer eine Anfrage stellt. Die als CVE-2026-5430 erfasste Schwachstelle hat im WSO2-Hinweis einen CVSS-Score von 9,8 von 10, während watchTowr sie als kritischen Fehler mit CVSS 10,0 beschreibt. Sie beruht auf einer unsachgemäßen Überprüfung einer kryptografischen Signatur im JWT-Authentifizierungsprozess. Das Hacktron Team wurde für die Entdeckung und Meldung des Fehlers anerkannt.
Der im Mai 2026 veröffentlichte WSO2-Hinweis erklärt, dass die JWT-Authentifizierung umgangen werden kann, wenn ein Token mit einem nicht unterstützten Algorithmus signiert wird, was unbefugten Zugriff ermöglicht. In einem normalen JWT-Ablauf prüft der Dienst die Signatur, um zu bestätigen, dass das Token echt ist. Der Fehler bedeutet, dass der Dienst ein Token, das ein Angreifer mit einem nicht unterstützten Signaturalgorithmus erstellt, dennoch akzeptiert, sodass ein Angreifer ein Token erzeugen kann, das Administratorrechte gewährt, ohne den echten Schlüssel zu kennen. Eine erfolgreiche Ausnutzung kann zu unbefugtem Zugriff führen, einschließlich der möglichen Kompromittierung von Administratorkonten und vollständiger Kontoübernahme. Betroffen sind WSO2 API Control Plane Versionen 4.6.0 und 4.5.0, WSO2 API Manager Versionen 4.6.0, 4.5.0, 4.4.0, 4.3.0, 4.2.0 und 4.1.0, WSO2 Traffic Manager Versionen 4.6.0 und 4.5.0 sowie WSO2 Universal Gateway Versionen 4.6.0 und 4.5.0.
Für Community-Nutzer sind Korrekturen in zwei WSO2-Pull-Requests verfügbar: github.com/wso2/carbon-apimgt/pull/13752 und github.com/wso2/product-apim/pull/14167. Für Inhaber eines WSO2-Support-Abonnements wurden gepatchte Update-Level veröffentlicht: WSO2 API Control Plane 4.6.0 auf Update-Level 22 und 4.5.0 auf Update-Level 58; WSO2 API Manager 4.6.0 auf Update-Level 21, 4.5.0 auf Update-Level 57, 4.4.0 auf Update-Level 72, 4.3.0 auf Update-Level 108, 4.2.0 auf Update-Level 197 und 4.1.0 auf Update-Level 257; WSO2 Traffic Manager 4.6.0 auf Update-Level 21 und 4.5.0 auf Update-Level 56; und WSO2 Universal Gateway 4.6.0 auf Update-Level 21 und 4.5.0 auf Update-Level 57.
watchTowr berichtet, dass die Schwachstelle nun aktive Ausnutzungsversuche in freier Wildbahn zeigt. Das Honeypot-Netzwerk des Unternehmens, bestehend aus zu Dekorationszwecken online gestellten Systemen, die Angreifer anlocken und beobachten sollen, fing am 13. September 2026 eingehende JWT-Token mit eingebauten Administratorrechten ab. Yordan Ganchev, Principal Threat Intelligence Specialist bei watchTowr, erklärte, dass der Fehler darin besteht, dass der Dienst JWT-Token akzeptiert, die mit nicht unterstützten Algorithmen signiert wurden, und sie dennoch genehmigt. Bei den beobachteten Ausnutzungsversuchen wird vermutet, dass das gefälschte JWT-Token verwendet wird, um Zugriff auf jeden API-Backend-Endpunkt und dessen Anmeldeinformationen, Consumer-Keys und Secrets für jede registrierte Anwendung zu erlangen.
Ganchev fügte hinzu, dass der Dienst per Definition dazu dient, API-Anfragen auf ihrem Weg zu internen Systemen abzufangen. Das gibt Angreifern die Möglichkeit, sensible Daten während der Übertragung abzugreifen und zu stehlen sowie über dieses „Lateral Movement as a Service“-Produkt mit internen Diensten zu interagieren. Da der WSO2 API Manager oft zwischen öffentlichen Nutzern und internen Datenbanken sitzt, könnte ein erfolgreicher Angreifer auf sensible Kundendaten oder Backend-Dienste zugreifen, ohne in jedes System einzeln eindringen zu müssen. Angesichts der aktiven Ausnutzung wird Nutzern geraten, die Korrekturen so schnell wie möglich anzuwenden, um optimalen Schutz zu gewährleisten. Für Organisationen, die WSO2 oder ähnliche API-Plattformen betreiben, kann ein sicherheitsorientierter IT- und Infrastrukturpartner wie AEU-I dabei helfen, die Exposition zu überprüfen und die Update-Level aktuell zu halten.