OpenOLAT: OIDC निहित प्रवाह में जाली JWT के माध्यम से प्रमाणीकरण बाईपास

यह भेद्यता हमलावरों को OpenOLAT सिस्टम में बिना किसी वैध प्रमाणीकरण के प्रवेश करने की अनुमति देती है। हमलावर संवेदनशील डेटा तक पहुंच प्राप्त कर सकते हैं, सिस्टम कॉन्फ़िगरेशन बदल सकते हैं, या दुर्भावनापूर्ण कोड निष्पादित कर सकते हैं। JWT हस्ताक्षर सत्यापन की कमी के कारण, हमलावर आसानी से JWT टोकन को छेड़छाड़ कर सकते हैं और सिस्टम को धोखा दे सकते हैं। इस भेद्यता का शोषण करने से सिस्टम की सुरक्षा और अखंडता को गंभीर खतरा हो सकता है। यह भेद्यता Log4Shell जैसी अन्य गंभीर भेद्यताओं के समान शोषण पैटर्न का उपयोग कर सकती है, जहां सत्यापन तंत्र में कमजोरियों का फायदा उठाया जाता है।

Educational institutions and organizations using OpenOLAT for online learning are at significant risk. Specifically, those relying on OpenID Connect for authentication and using versions between 10.5.4 and 20.2.4 are particularly vulnerable. Shared hosting environments where OpenOLAT instances are deployed alongside other applications could also be affected if proper isolation is not in place.

• linux / server: Monitor OpenOLAT logs for JWT requests lacking a signature or with invalid claims. Use journalctl -u openolat to filter for relevant log entries.

journalctl -u openolat | grep -i "JWT signature" -i "invalid claim"

• generic web: Use curl to test OpenID Connect endpoints with crafted JWTs lacking signatures to see if they are accepted.

curl -H "Authorization: Bearer <malformed_jwt>" <openid_connect_endpoint>

• database (mysql): If OpenOLAT stores JWTs in the database (check configuration), query the relevant tables for JWTs without a signature field or with suspicious claim values. (Specific query depends on OpenOLAT's database schema).

1. 2026-03-30Disclosure

   disclosure

1. आरक्षित2026-03-10
2. प्रकाशित2026-03-30
3. संशोधित2026-03-31
4. EPSS अद्यतन2026-04-07

इस भेद्यता को कम करने के लिए, OpenOLAT के संस्करण 20.2.5 में अपग्रेड करना आवश्यक है। यदि अपग्रेड करना तत्काल संभव नहीं है, तो एक अस्थायी समाधान के रूप में, आप वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करके JWT टोकन सत्यापन को लागू कर सकते हैं। WAF को उन अनुरोधों को ब्लॉक करने के लिए कॉन्फ़िगर किया जाना चाहिए जिनमें मान्य JWT हस्ताक्षर नहीं हैं। इसके अतिरिक्त, आप OpenID Connect कॉन्फ़िगरेशन को सख्त कर सकते हैं और केवल विश्वसनीय पहचान प्रदाताओं का उपयोग कर सकते हैं। अपग्रेड के बाद, यह सुनिश्चित करने के लिए सिस्टम का परीक्षण करें कि JWT हस्ताक्षर सत्यापन ठीक से काम कर रहा है।