OpenOLAT: Omissão de autenticação através de JWT forjado no fluxo implícito OIDC

A vulnerabilidade CVE-2026-31946 no OpenOLAT, uma plataforma de aprendizado online de código aberto, permite que um atacante comprometa a segurança da plataforma através da manipulação de tokens JWT. Especificamente, a implementação do fluxo implícito do OpenID Connect em versões do OpenOLAT entre 10.5.4 e antes da versão 20.2.5 não verifica as assinaturas JWT. Isso significa que um atacante pode criar tokens JWT maliciosos que parecem legítimos, pois o método JSONWebToken.parse() ignora silenciosamente a parte da assinatura do token. A falta de validação da assinatura permite a injeção de claims falsos, o que pode resultar em suposta identidade de usuários, acesso não autorizado a dados confidenciais ou até mesmo a execução de código arbitrário no servidor, dependendo de como os claims manipulados são utilizados. O impacto é crítico, especialmente em ambientes onde a segurança dos dados dos alunos e professores é primordial.

Educational institutions and organizations using OpenOLAT for online learning are at significant risk. Specifically, those relying on OpenID Connect for authentication and using versions between 10.5.4 and 20.2.4 are particularly vulnerable. Shared hosting environments where OpenOLAT instances are deployed alongside other applications could also be affected if proper isolation is not in place.

• linux / server: Monitor OpenOLAT logs for JWT requests lacking a signature or with invalid claims. Use journalctl -u openolat to filter for relevant log entries.

journalctl -u openolat | grep -i "JWT signature" -i "invalid claim"

• generic web: Use curl to test OpenID Connect endpoints with crafted JWTs lacking signatures to see if they are accepted.

curl -H "Authorization: Bearer <malformed_jwt>" <openid_connect_endpoint>

• database (mysql): If OpenOLAT stores JWTs in the database (check configuration), query the relevant tables for JWTs without a signature field or with suspicious claim values. (Specific query depends on OpenOLAT's database schema).

1. 2026-03-30Disclosure

   disclosure

1. Reservado2026-03-10
2. Publicada2026-03-30
3. Modificada2026-03-31
4. EPSS atualizado2026-04-07

A mitigação principal para CVE-2026-31946 é atualizar o OpenOLAT para a versão 20.2.5 ou superior. Esta versão inclui uma correção que valida corretamente as assinaturas JWT, prevenindo a manipulação de tokens. Enquanto isso, como medida temporária, recomenda-se restringir o acesso à plataforma de redes não confiáveis e monitorar os logs de auditoria em busca de atividades suspeitas. Além disso, é crucial revisar a configuração do OpenID Connect para garantir que os claims necessários sejam usados para autorização e que políticas de segurança robustas sejam implementadas para proteger dados confidenciais. Testes de penetração periódicos também são recomendados para identificar e corrigir possíveis vulnerabilidades.