n8n वर्कफ़्लो ऑटोमेशन प्लेटफ़ॉर्म ने बहु‑issuer कॉन्फ़िगरेशन में JWT के sub क्लेम को अकेले भरोसा करके गलत उपयोगकर्ता को लॉग‑इन कर दिया। यह सुरक्षा त्रुटि हमलावरों को अन्य issuer के वैध टोकन से किसी अन्य उपयोगकर्ता के रूप में प्रवेश करने की अनुमति देती है।

मुख्य बिंदु (Key Takeaways)

  • n8n के एंटरप्राइज़ संस्करण में JWT के sub क्लेम को बिना iss की जाँच के उपयोगकर्ता पहचान के रूप में इस्तेमाल किया गया।
  • एक वैध टोकन जो issuer A से है, लेकिन sub क्लेम में issuer B के उपयोगकर्ता का पहचानकर्ता हो, उस उपयोगकर्ता के रूप में लॉग‑इन करवा सकता है।
  • समाधान में issuer‑validation को सख्त करना, टोकन‑रीफ़्रेश को सीमित करना और मौजूदा इंस्टेंसेस को पैच करना शामिल है।

n8n एक ओपन‑सोर्स वर्कफ़्लो ऑटोमेशन टूल है, जो एंटरप्राइज़ ग्राहकों को बाहरी पहचान प्रदाताओं (IdP) के माध्यम से सिंगल साइन‑ऑन (SSO) सक्षम करता है। इस सुविधा के पीछे JSON Web Token (JWT) आधारित प्रमाणीकरण कार्य करता है, जहाँ दो प्रमुख क्लेम – iss (issuer) और sub (subject) – उपयोगकर्ता की पहचान स्थापित करने में आवश्यक होते हैं।

त्रुटि का विवरण

नवीनतम सुरक्षा विश्लेषण ने उजागर किया कि n8n के कई‑issuer कॉन्फ़िगरेशन में, लॉग‑इन प्रक्रिया केवल sub क्लेम की तुलना स्थानीय डेटाबेस में मौजूद उपयोगकर्ता रिकॉर्ड से करती है, जबकि iss क्लेम को पूरी तरह अनदेखा किया जाता है। परिणामस्वरूप, यदि कोई हमलावर issuer A से वैध JWT प्राप्त करता है, जिसमें sub वह पहचानकर्ता हो जो issuer B के किसी उपयोगकर्ता को दर्शाता है, तो वह उस उपयोगकर्ता के रूप में सिस्टम में प्रवेश कर सकता है, भले ही पासवर्ड न हो।

संभावित प्रभाव

यह बग विशेष रूप से उन एंटरप्राइज़ संस्थाओं के लिए गंभीर जोखिम पैदा करता है, जहाँ कई पहचान प्रदाता (जैसे Azure AD, Okta, Keycloak) को भरोसा किया जाता है। एक बार जब हमलावर ऐसे क्रॉस‑issuer लॉगिन हासिल कर लेता है, तो वह संवेदनशील वर्कफ़्लो, डेटा एक्सफ़िल्टरेशन, या अनधिकृत कार्यों को स्वचालित कर सकता है। यह न केवल डेटा गोपनीयता को प्रभावित करता है, बल्कि नियामक अनुपालन (जैसे GDPR, ISO 27001) के उल्लंघन का कारण भी बन सकता है।

निवारक उपाय और पैच प्रक्रिया

n8n ने जल्द ही एक सुरक्षा अपडेट जारी किया, जिसमें JWT पार्सिंग को संशोधित करके iss क्लेम की वैधता जाँच को अनिवार्य किया गया है। प्रशासकों को सलाह दी गई है कि वे सभी एंटरप्राइज़ इंस्टेंसेस को नवीनतम संस्करण में अपग्रेड करें, और निम्नलिखित अतिरिक्त कदम अपनाएँ:

  • एकाधिक issuer कॉन्फ़िगरेशन के लिए स्पष्ट व्हाइट‑लिस्ट बनाएँ और अनभिज्ञ issuer को ब्लॉक करें।
  • टोकन‑रीफ़्रेश टाइम‑आउट को कम रखें, ताकि टोकन चोरी होने की संभावना घटे।
  • नियमित रूप से लॉग‑इन इवेंट्स की ऑडिटिंग करें और असामान्य क्रॉस‑issuer पैटर्न पर अलर्ट सेट करें।

भविष्य की दिशा

यह घटना यह रेखांकित करती है कि सॉफ्टवेयर विकास में सुरक्षा‑पहले दृष्टिकोण अपनाना कितना आवश्यक है, विशेषकर जब क्लाउड‑आधारित और बहु‑issuer आर्किटेक्चर का प्रयोग हो रहा हो। कंपनियों को केवल तकनीकी पैच पर निर्भर नहीं रहना चाहिए; उन्हें पहचान‑प्रबंधन प्रक्रियाओं को निरंतर पुनः‑समीक्षा और सुदृढ़ करना चाहिए।