Apache APISIX JWT身份验证绕过漏洞（CVE-2026-39999）

sec随谈
sec随谈

sec随谈

2026年7月9日 08:33
北京

在小说阅读器读本章

去阅读

摘要

Apache APISIX 3.16.0版本的jwt-auth插件中存在一个JWT算法混淆漏洞。该漏洞被追踪为CVE-2026-39999，未经身份验证的攻击者可借此伪造令牌并绕过身份验证。Apache已在APISIX 3.16.1版本中修复了该问题。

为何重要

APISIX是一款广泛使用的API网关，因此一次APISIX身份验证绕过攻击可能暴露其背后的所有服务。该漏洞CVSS评分为9.1，属于严重级别。攻击者无需任何凭据，仅需获取消费者的公钥即可，而该公钥本身就是被设计为公开的。

其危害还可能进一步扩大。如果被冒充的用户拥有管理员权限范围，攻击者甚至可能进一步访问APISIX管理API。这一结果取决于具体的网络规则和管理员访问权限设置。

攻击原理

该问题属于典型的JWT算法混淆漏洞。APISIX根据消费者配置的算法来选取验证密钥，但却根据令牌请求头中的alg字段来选取验证函数，而该字段是攻击者可控的。

以配置为RS256的消费者为例，此时APISIX会将公钥交给验证器使用。攻击者随后可将请求头设置为HS256，并使用该公钥作为HMAC密钥对令牌进行签名。结果，验证得以通过，攻击者便能以任意用户身份完成认证。研究人员已演示了该绕过手法，但目前尚未确认存在在野利用活动。

受影响版本

Apache官方列出3.16.0及之前的所有版本均受影响。非对称密钥验证路径是通过3.16.0版本中新增的解析器模块引入的，这也扩大了漏洞的暴露面。只有配置为RS256、ES256或PS256的消费者才面临此风险。

这并非运维人员的操作失误。RS256配置本就存在于官方架构定义、文档说明和测试用例中，因此受影响的部署方式实际上是遵循了官方支持的指导做法。此外，管理员此前也没有选项可以强制指定允许使用的验证算法。

补丁与缓解措施

请升级至APISIX 3.16.1或更高版本，该补丁强制执行配置的算法要求。修复方案增加了一项交叉校验机制，用于比对令牌中的alg字段与消费者的配置设置，一旦发现不匹配即拒绝该令牌。更新的3.17.0版本还捆绑了其他安全修复。在完成补丁更新之前，建议将受JWT保护的路由访问限制在可信网络范围内。

同时，建议审查访问日志，排查针对配置为RS256的消费者却使用HS256算法的令牌，因为这种不匹配的情况往往意味着存在攻击尝试。今年6月底，一名研究人员在oss-security邮件列表上重新披露了同一漏洞，因此预计扫描探测活动会有所增加。这一APISIX身份验证绕过漏洞已有明确的修复方案，因此当务之急是尽快完成补丁更新。

参考链接：

https://seclists.org/oss-sec/2026/q3/19