Convoy: JWT Signature Verification Bypass Allows Authentication as Arbitrary Users

De impact van deze kwetsbaarheid is significant. Door de JWT handtekeningvalidatie te omzeilen, kan een aanvaller de user_uuid claim in een JWT token wijzigen. Dit betekent dat de aanvaller zich kan voordoen als een andere gebruiker, inclusief beheerders, en toegang kan krijgen tot gevoelige data en functies binnen het Convoy Panel. Een succesvolle exploitatie kan leiden tot ongeautoriseerde configuratiewijzigingen, data-exfiltratie, en zelfs volledige controle over de beheerde KVM servers. De kwetsbaarheid is vergelijkbaar met andere JWT signature bypass kwetsbaarheden die in vergelijkbare systemen zijn aangetroffen, waar een gebrek aan correcte validatie de deur openzet voor misbruik.

Hosting businesses utilizing Convoy Panel to manage their KVM infrastructure are at significant risk. Specifically, deployments using older versions (3.9.0-beta through 4.5.0) are vulnerable. Shared hosting environments where multiple users share a single Convoy Panel instance are particularly exposed, as a compromise of one user's account could lead to broader system access.

• linux / server:

journalctl -u convoy-panel | grep -i "JWT decode failed"

• generic web:

curl -I <convoy_panel_url>/api/v1/users/me | grep -i "Authorization: Bearer"

Inspect the Authorization header for malformed or suspicious JWT tokens. • generic web: Review Convoy Panel access logs for unusual user agent strings or IP addresses attempting to access sensitive endpoints.

1. 2026-04-02Disclosure

   disclosure

2. 2026-04-03CISA KEV

   kev

1. Gereserveerd2026-03-23
2. Gepubliceerd2026-04-02
3. EPSS bijgewerkt2026-04-10

De primaire mitigatie is het upgraden naar Convoy Panel versie 4.5.1 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen. Beperk de toegang tot het Convoy Panel via een firewall en implementeer sterke authenticatie methoden. Monitor de logs op verdachte activiteiten, zoals ongebruikelijke gebruikersnamen of wijzigingen in configuratiebestanden. Het is belangrijk om te controleren of de JWT tokens correct worden gevalideerd in de applicatiecode. Na de upgrade, controleer de logs op eventuele onverwachte fouten en bevestig dat de JWT validatie correct functioneert door te proberen een vervalst token te gebruiken.