설명

SWIFT API 게이트웨이의 치명적인 잘못된 구성으로 인해 공격자가 서버가 RS256을 기대하는 동안 HS256 알고리즘을 사용하여 JWT를 위조할 수 있습니다. 서버는 공개 RSA 키를 HMAC 비밀 키로 사용하여 토큰을 잘못 검증하므로, 공격자가 유효한 관리자 토큰을 위조할 수 있습니다.

이 취약점을 통해 공격자는 SWIFT 게이트웨이에서 관리자 작업(거래 승인, 사용자 관리, 로그 변조 포함)을 수행할 수 있습니다.

영향

• 거래 승인
• 사용자 관리
• 로그 변조

완화 조치

• SWIFT API 게이트웨이 3.2.5 이상으로 업데이트
• 엄격한 JWT 알고리즘 검증(RS256만) 적용
• 기존의 모든 JWT 비밀 키를 즉시 교체
• 지난 30일간의 모든 관리자 작업 감사

타임라인

• 2026-08-30: 취약점 발견
• 2026-08-31: 공개 공개

면책 조항

이 연구는 교육 목적으로만 제공됩니다. 무단 사용은 금지됩니다.