Convoy: JWT署名検証バイパスにより、任意のユーザーとして認証が可能

この脆弱性は、攻撃者がConvoy PanelのJWTトークンを偽造または改ざんすることを可能にします。具体的には、攻撃者はuser_uuidクレームを改ざんすることで、別のユーザーになりすましてシステムにアクセスできます。これにより、機密情報への不正アクセス、設定の変更、さらにはシステム全体の制御奪取といった深刻な被害が発生する可能性があります。Convoy PanelはKVMサーバー管理パネルであるため、この脆弱性が悪用されると、ホスティング事業者のサーバーインフラ全体に影響が及ぶ可能性があります。この脆弱性は、JWTの署名検証不備という点で、Log4Shellと同様の認証バイパスの危険性を孕んでいます。

Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.

• linux / server:

journalctl -u convoy-panel | grep -i "JWT decode failed"

• generic web:

curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"

Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-03CISA KEV

   kev

1. 予約済み2026-03-23
2. 公開日2026-04-02
3. EPSS 更新日2026-04-10

この脆弱性への対応として、Convoy Panelをバージョン4.5.1にアップデートすることを推奨します。もしアップデートが困難な場合は、一時的な緩和策として、JWTの検証設定を強化し、StrictValidAt制約に加えてSignedWith制約も適用することを検討してください。また、WAF（Web Application Firewall）やリバースプロキシを設定し、不正なJWTトークンを検知・遮断するルールを実装することも有効です。Convoy Panelのログを監視し、不審なアクセスやJWTトークンの改ざんの兆候がないか確認することも重要です。アップデート後、JWTトークンの検証が正しく行われていることを確認してください。