Apache Syncope разкри три важни уязвимости в сигурността, които биха могли да позволят на оторизирани администратори да изпълняват злонамерени SQL команди, да заобикалят защитите на изолираната среда Groovy и да се представят за потребители с по-високи привилегии. Проблемите засягат няколко версии на Apache Syncope 3.0, 4.0 и 4.1 и са отстранени във версии 4.0.8 и 4.1.3.

Apache Syncope е платформа с отворен код за управление на самоличността и контрол на достъпа, използвана за управление на потребители, групи, роли, автентификация и предоставяне на ресурси в корпоративни приложения.

Тъй като платформата често има достъп до чувствителни данни за самоличност и административни интерфейси, успешното ѝ компрометиране би могло да създаде сериозни рискове за сигурността на засегнатите организации.

Уязвимости в Apache Syncope

Първият проблем, проследяван като CVE-2026-82232, е уязвимост от тип SQL инжекция във функцията за търсене на задачи (Task search). Уязвимостта съществува, тъй като Apache Syncope не пречиства правилно специалните SQL елементи, подадени чрез параметъра sort.

Администратор с достатъчно права би могъл да се възползва от проблема, като изпрати злонамерен вход чрез непречистена клауза sort. Дефектът поддържа свързани заявки (stacked queries), което означава, че атакуващият може да добавя и изпълнява допълнителни SQL команди извън предвидената заявка.

Успешното компрометиране би могло да разкрие, промени или изтрие информация в базата данни в зависимост от правата на акаунта в базата данни, съответстващ на Syncope.

Киберпрестъпниците биха могли също така да използват дефекта за манипулиране на записи, свързани със задачи, извличане на данни за самоличност или промяна на конфигурационни стойности, съхранявани в базата данни.

CVE-2026-82232 засяга компонента syncope-core-persistence-jpa във версии на Apache Syncope от 3.0.0-M0 до 3.0.16, версии от 4.0.0-M0 до 4.0.7 и версии от 4.1.0-M0 до 4.1.2. Изследователят по сигурността Алон Галили (Alon Galili) съобщава за уязвимостта.

Втората уязвимост, CVE-2026-77147, е проблем с инжектиране на код, свързан с изолираната среда за сигурност Groovy. Тя засяга компонента syncope-core-spring и би могла да позволи на привилегирован администратор да заобиколи предвидените защити, предназначени да ограничават ненадежден код на Groovy.

Според официалното бюлетин за сигурност администратор с права за Implementations може да създаде злонамерен клас Groovy Command, съдържащ ненадежден код в своята статична реализация CommandArgs.

Когато CommandArgs е празен, атакуващият може да излезе от изолираната среда Groovy и да изпълни код извън очакваните граници на сигурност.

Това би могло да позволи изпълнението на зловреден код в контекста на приложението Apache Syncope, потенциално осигурявайки на атакуващия достъп до данни на приложението, бекенд услуги, идентификационни данни или свързани системи за управление на самоличността. Изследователят n0mi1k съобщава за проблема.

Трети дефект, CVE-2026-73178, би могъл да позволи прихващане на JWT токени за достъп. Администратор с подходящи права може да използва REST интерфейса, за да извлече съществуващи токени за достъп, включително техните подписани JWT тела. Тези токени след това могат да бъдат използвани повторно за правене на REST заявки, докато се представя за потребители с по-големи административни привилегии.

Проблемът с JWT засяга компонента syncope-core-provisioning-java в същите засегнати диапазони от версии. Той също е открит от n0mi1k. Организациите трябва незабавно да актуализират инсталациите на Apache Syncope до версия 4.0.8 или 4.1.3.

Администраторите трябва също така да прегледат привилегированите акаунти, да одитират скорошната активност на REST API, да подменят потенциално компрометираните токени и да наблюдават логовете на базата данни за съмнителни заявки за търсене на задачи или неочаквано SQL поведение.

Cut every SOC alert investigation by 21 min. Power your SOC with instant IOC context for immediate response: Integrate TI Lookup in your SOC