Descripción

Una configuración incorrecta crítica en SWIFT API Gateway permite a un atacante crear un JWT utilizando el algoritmo HS256 mientras que el servidor espera RS256. El servidor valida incorrectamente el token usando la clave pública RSA como secreto HMAC, lo que permite a un atacante falsificar tokens administrativos válidos.

Esta vulnerabilidad permite a un atacante ejecutar acciones administrativas en la pasarela SWIFT, incluida la aprobación de transacciones, la gestión de usuarios y la manipulación de registros.

Impacto

• Aprobación de transacciones
• Gestión de usuarios
• Manipulación de registros

Mitigación

• Actualizar a SWIFT API Gateway 3.2.5 o posterior
• Aplicar una validación estricta del algoritmo JWT (solo RS256)
• Rotar todos los secretos JWT existentes de inmediato
• Auditar todas las acciones administrativas de los últimos 30 días

Cronología

• 2026-08-30: Vulnerabilidad descubierta
• 2026-08-31: Divulgación pública

Aviso legal

Esta investigación tiene fines exclusivamente educativos. Se prohíbe el uso no autorizado.