WSO2 API Manager JWT 우회 취약점, 위조 관리자 토큰을 이용한 실제 악용 시도 포착

한 줄 요약

WSO2 API Manager(기업용 API 관리 플랫폼)에서 심각한 인증 우회 취약점(CVE-2026-5430)이 발견되어 현재 실제 공격에 악용되고 있습니다. 공격자는 지원되지 않는 알고리즘으로 서명된 위조 JWT(인증 토큰) 토큰을 이용해 관리자 권한을 탈취할 수 있으며, 이를 통해 등록된 모든 애플리케이션의 자격증명과 API 백엔드 정보까지 접근이 가능합니다. 보안 연구팀 watchTowr의 허니팟(공격 탐지용 가짜 서버)에 2026년 9월 13일부터 관리자 권한이 심어진 위조 토큰이 실제로 포착됐습니다. WSO2는 이미 패치를 배포했으므로, 해당 제품을 사용하는 조직은 즉시 업데이트를 적용해야 합니다.

사건

WSO2 API Manager 등 복수 WSO2 제품에서 JWT 서명 검증 로직 결함(CVE-2026-5430, CVSS 9.8)이 실제 공격에 악용되고 있음. 공격자는 지원되지 않는 알고리즘으로 서명한 위조 JWT 토큰을 제출해 관리자 계정 권한을 획득.

영향

API 백엔드 엔드포인트 전체 및 자격증명, 컨슈머 키·시크릿 탈취 가능. 내부 시스템으로의 횡적 이동(lateral movement) 및 전송 중 민감 데이터 도청 위험.

원인

JWT 인증 처리 시 지원되지 않는 서명 알고리즘으로 발급된 토큰을 그대로 승인하는 불완전한 암호서명 검증 로직.

대응

WSO2가 2026년 5월 보안 권고문과 함께 패치 배포. 커뮤니티 사용자는 GitHub PR(carbon-apimgt #13752, product-apim #14167)로, 서포트 구독자는 각 제품별 업데이트 레벨 적용 가능.

실무 포인트

WSO2 API Manager 4.1.0~4.6.0, API Control Plane, Traffic Manager, Universal Gateway 사용 조직은 즉시 해당 업데이트 레벨을 확인하고 패치를 적용해야 함. 적용 전까지 API 게이트웨이 접근 로그에서 비정상 JWT 토큰 유입 여부를 모니터링할 것.

본문

Ravie Lakshmanan 2026년 9월 16일 | 취약점 / API 보안

watchTowr의 분석에 따르면 WSO2 API Manager의 심각한 보안 결함이 실제 환경에서 활발히 악용되고 있습니다.

CVE-2026-5430(CVSS 점수: 9.8/10.0)으로 추적되는 이 취약점은 암호서명 검증이 부적절하게 구현되어 계정 탈취로 이어질 수 있는 문제입니다. 이 결함을 발견하고 신고한 공로는 Hacktron Team에게 돌아갔습니다.

WSO2가 2026년 5월 발표한 보안 권고문에 따르면, "지원되지 않는 알고리즘으로 서명된 토큰이 사용될 경우 JWT 인증이 우회될 수 있으며, 이를 통해 무단 접근이 가능해집니다." "취약점이 성공적으로 악용되면 관리자 계정을 포함한 무단 접근 및 전체 계정 탈취로 이어질 수 있습니다."

이 취약점의 영향을 받는 제품은 다음과 같습니다.

WSO2 API Control Plane: 4.6.0, 4.5.0
WSO2 API Manager: 4.6.0, 4.5.0, 4.4.0, 4.3.0, 4.2.0, 4.1.0
WSO2 Traffic Manager: 4.6.0, 4.5.0
WSO2 Universal Gateway: 4.6.0, 4.5.0

커뮤니티 사용자를 위한 수정 사항은 다음 풀 리퀘스트에서 확인할 수 있습니다.

github[.]com/wso2/carbon-apimgt/pull/13752
github[.]com/wso2/product-apim/pull/14167

WSO2 서포트 구독자에게는 아래 업데이트 레벨로도 제공됩니다.

WSO2 API Control Plane 4.6.0 - 업데이트 레벨 22
WSO2 API Control Plane 4.5.0 - 업데이트 레벨 58
WSO2 API Manager 4.6.0 - 업데이트 레벨 21
WSO2 API Manager 4.5.0 - 업데이트 레벨 57
WSO2 API Manager 4.4.0 - 업데이트 레벨 72
WSO2 API Manager 4.3.0 - 업데이트 레벨 108
WSO2 API Manager 4.2.0 - 업데이트 레벨 197
WSO2 API Manager 4.1.0 - 업데이트 레벨 257
WSO2 Traffic Manager 4.6.0 - 업데이트 레벨 21
WSO2 Traffic Manager 4.5.0 - 업데이트 레벨 56
WSO2 Universal Gateway 4.6.0 - 업데이트 레벨 21
WSO2 Universal Gateway 4.5.0 - 업데이트 레벨 57

watchTowr에 따르면 이 취약점은 현재 실제 환경에서 활발히 악용 시도가 이루어지고 있으며, 자사 허니팟(honeypot) 네트워크에서 2026년 9월 13일부터 관리자 권한이 내장된 JWT 토큰이 유입되는 것이 포착됐습니다.

watchTowr의 주요 위협 인텔리전스 전문가 Yordan Ganchev는 The Hacker News와 공유한 성명에서 "이 결함은 JWT 인증이 지원하지 않는 알고리즘으로 서명된 토큰을 받아들인 뒤 그대로 승인하는 방식으로 인해 서비스 내부에 존재합니다"라고 밝혔습니다.

"이것이 왜 심각한 버그(CVSS 10.0)인지는 쉽게 알 수 있습니다. API Manager 4.1.0부터 4.6.0까지, 그리고 API Control Plane, Traffic Manager, Universal Gateway에 영향을 미칩니다."

Ganchev는 관찰된 악용 시도에서 위조 JWT 토큰이 모든 API 백엔드 엔드포인트와 자격증명, 그리고 등록된 모든 애플리케이션의 컨슈머 키 및 시크릿에 접근하는 데 사용되는 것으로 의심된다고 덧붙였습니다.

"이 서비스는 정의상 내부 시스템으로 향하는 API 요청을 중간에서 처리하도록 설계되어 있어, 전송 중인 민감한 데이터를 도청하고 이 '서비스형 횡적 이동(lateral movement-as-a-service)' 제품을 통해 내부 서비스와 상호작용할 수 있는 좋은 기회를 제공합니다."

실제 악용이 이루어지고 있는 만큼, 사용자들은 최적의 보호를 위해 가능한 한 빨리 패치를 적용할 것을 권고받고 있습니다.

출처

The Hacker News · thehackernews.com

원문 보기