OpenOLAT: Contournement de l'authentification via un JWT falsifié dans le flux implicite OIDC

Cette vulnérabilité d'authentification contournée permet à un attaquant non authentifié d'accéder aux fonctionnalités protégées d'OpenOLAT sans avoir besoin d'identifiants valides. L'attaquant peut exploiter cette faille pour compromettre des données sensibles, modifier des contenus de cours, ou même prendre le contrôle de la plateforme. L'absence de vérification des signatures JWT dans le flux OpenID Connect implicit flow rend la plateforme particulièrement vulnérable. Un attaquant pourrait créer un JWT malveillant, en omettant la vérification de la signature, et ainsi se faire passer pour un utilisateur légitime, ouvrant la porte à des actions malicieuses. Cette vulnérabilité présente un risque élevé, similaire à d'autres failles d'authentification contournée qui ont permis des intrusions majeures dans des systèmes d'apprentissage en ligne.

Educational institutions and organizations using OpenOLAT for online learning are at significant risk. Specifically, those relying on OpenID Connect for authentication and using versions between 10.5.4 and 20.2.4 are particularly vulnerable. Shared hosting environments where OpenOLAT instances are deployed alongside other applications could also be affected if proper isolation is not in place.

• linux / server: Monitor OpenOLAT logs for JWT requests lacking a signature or with invalid claims. Use journalctl -u openolat to filter for relevant log entries.

journalctl -u openolat | grep -i "JWT signature" -i "invalid claim"

• generic web: Use curl to test OpenID Connect endpoints with crafted JWTs lacking signatures to see if they are accepted.

curl -H "Authorization: Bearer <malformed_jwt>" <openid_connect_endpoint>

• database (mysql): If OpenOLAT stores JWTs in the database (check configuration), query the relevant tables for JWTs without a signature field or with suspicious claim values. (Specific query depends on OpenOLAT's database schema).

1. 2026-03-30Disclosure

   disclosure

1. Réservé2026-03-10
2. Publiée2026-03-30
3. Modifiée2026-03-31
4. EPSS mis à jour2026-04-07

La mitigation principale consiste à mettre à jour OpenOLAT vers la version 20.2.5 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est fortement recommandé de désactiver temporairement le flux OpenID Connect implicit flow jusqu'à ce que la mise à jour puisse être effectuée. En attendant, assurez-vous que les configurations OpenID Connect sont correctement sécurisées et que les paramètres de confiance sont strictement contrôlés. Surveillez attentivement les journaux d'accès et d'erreurs pour détecter toute activité suspecte liée à l'authentification. Après la mise à jour, vérifiez que la signature JWT est correctement validée en examinant les journaux et en effectuant des tests d'authentification.