OpenOLAT: OIDC暗黙的フローにおける偽造JWTによる認証バイパス

OpenOLATのCVE-2026-31946脆弱性は、OpenOLAT（オープンソースのWebベースのeラーニングプラットフォーム）のセキュリティを、JWTトークンの操作によって侵害する可能性があります。具体的には、10.5.4から20.2.5より前のバージョンのOpenOLATにおけるOpenID Connectの暗黙的フロー実装は、JWT署名を検証しません。これにより、攻撃者は正当なものに見える悪意のあるJWTトークンを作成できる可能性があります。なぜなら、JSONWebToken.parse()メソッドはコンパクトなJWTの署名セグメント（header.payload.signature）をサイレントに無視するからです。署名検証の欠如により、偽のクレームを挿入することが可能になり、ユーザーのなりすまし、機密データへの不正アクセス、さらにはサーバー上での任意のコード実行につながる可能性があります。この影響は、学生と教員のデータセキュリティが最優先事項である環境では特に深刻です。

Educational institutions and organizations using OpenOLAT for online learning are at significant risk. Specifically, those relying on OpenID Connect for authentication and using versions between 10.5.4 and 20.2.4 are particularly vulnerable. Shared hosting environments where OpenOLAT instances are deployed alongside other applications could also be affected if proper isolation is not in place.

• linux / server: Monitor OpenOLAT logs for JWT requests lacking a signature or with invalid claims. Use journalctl -u openolat to filter for relevant log entries.

journalctl -u openolat | grep -i "JWT signature" -i "invalid claim"

• generic web: Use curl to test OpenID Connect endpoints with crafted JWTs lacking signatures to see if they are accepted.

curl -H "Authorization: Bearer <malformed_jwt>" <openid_connect_endpoint>

• database (mysql): If OpenOLAT stores JWTs in the database (check configuration), query the relevant tables for JWTs without a signature field or with suspicious claim values. (Specific query depends on OpenOLAT's database schema).

1. 2026-03-30Disclosure

   disclosure

1. 予約済み2026-03-10
2. 公開日2026-03-30
3. 更新日2026-03-31
4. EPSS 更新日2026-04-07

CVE-2026-31946の主な軽減策は、OpenOLATをバージョン20.2.5以降にアップグレードすることです。このバージョンには、JWT署名を正しく検証する修正が含まれており、トークンの操作を防ぎます。その間、一時的な対策として、信頼できないネットワークからのプラットフォームへのアクセスを制限し、監査ログを監視して不審な活動がないか確認することをお勧めします。また、OpenID Connectの設定を確認して、承認に必要なクレームが使用されていること、機密データを保護するための堅牢なセキュリティポリシーが実装されていることを確認することが重要です。定期的なペネトレーションテストも推奨されます。