Was ist passiert?
n8n, die beliebte Workflow-Automatisierungsplattform, weist eine kritische Authentifizierungslücke auf. Bei Enterprise-Instanzen mit mehreren externen Token-Ausstellern (Issuern) validiert das System eingehende JWT-Tokens unzureichend. Das System berücksichtigt nur den „sub“-Claim (Subject) und ignoriert den kritischen „iss“-Claim (Issuer), was zu einer Token-Exchange-Schwachstelle führt.
Hintergrund & Bedeutung
Ein Angreifer mit einem gültigen Token von Issuer A könnte sich damit als Benutzer von Issuer B anmelden, sofern die Subject-IDs übereinstimmen. Das Passwort des Zielnutzers ist nicht erforderlich. Diese Lücke betrifft insbesondere Unternehmen, die föderierte Identitäten oder mehrere IAM-Systeme nutzen. Die fehlende Issuer-Validierung verstößt gegen grundlegende JWT-Sicherheitsstandards und könnte zu unbefugtem Zugriff auf sensitive Workflows und Daten führen.
Empfehlungen für IT-Teams
- Sofortmaßnahme: n8n-Instanzen auf die neueste Version aktualisieren, die den „iss“-Claim korrekt validiert
- Konfiguration überprüfen: Alle Enterprise-Instances mit mehreren Token-Issuern auditieren
- Zugriffslogs analysieren: Verdächtige Login-Aktivitäten von Benutzern aus unterschiedlichen Issuern prüfen
- JWT-Validierung: Sicherstellen, dass sowohl „sub“ als auch „iss“ validiert werden
- Zero-Trust-Ansatz: Zusätzliche Authentifizierungsfaktoren implementieren
Fazit
Diese Schwachstelle unterstreicht die Bedeutung rigider JWT-Validierung in födererten Umgebungen. Die Kombination beider Claims ist essentiell für sichere Token-Exchange-Prozesse.
Quelle: Original Artikel