描述

SWIFT API 网关中的一个严重配置错误允许攻击者使用 HS256 算法构造 JWT，而服务器预期使用 RS256。服务器错误地使用公共 RSA 密钥作为 HMAC 密钥来验证令牌，从而使攻击者能够伪造有效的管理令牌。

此漏洞使攻击者能够在 SWIFT 网关上执行管理操作——包括交易审批、用户管理和日志篡改。

影响

• 交易审批
• 用户管理
• 日志篡改

缓解措施

• 升级至 SWIFT API Gateway 3.2.5 或更高版本
• 强制实施严格的 JWT 算法验证（仅限 RS256）
• 立即轮换所有现有 JWT 密钥
• 审计过去 30 天内的所有管理操作

时间线

• 2026-08-30：发现漏洞
• 2026-08-31：公开披露

免责声明

本研究仅供教育目的使用。禁止未经授权的使用。