Apache Syncopeは、特権を持つ管理者が任意のSQLコマンドを実行したり、Groovyサンドボックスの保護を回避してコードを注入したり、露出したJWTアクセストークンを通じてより高い権限を持つユーザーセッションを乗っ取ったりできる、3件の重要な脆弱性を公表しました。
CVE-2026-82232、CVE-2026-77147、CVE-2026-73178として追跡されているこれらの脆弱性は、Apache Syncopeの3.0、4.0、4.1系の複数のリリースに影響します。
このID管理プラットフォームの影響を受けるインスタンスを使用している組織は、3件すべての脆弱性に対応済みのSyncope 4.0.8または4.1.3へのアップグレードを優先すべきです。
CVE-2026-82232は、Apache Syncopeのsyncope-core-persistence-jpaコンポーネントに存在するSQLインジェクション脆弱性です。この問題は、タスク検索操作の際に指定されるソート句内でSQLの特殊文字が適切に無害化されていないことに起因します。
十分な権限を持つ管理者であれば、この無害化されていないソートパラメータを悪用し、スタックドクエリを介して任意のSQLを実行できます。
この種の攻撃では、攻撃者が正規のクエリに追加のSQLコマンドを付加し、アプリケーションのデータベースアカウントに割り当てられた権限次第で、データベースのレコードを読み取ったり、改ざんしたり、削除したりできる可能性があります。
この脆弱性は、Apache Syncopeのバージョン3.0.0-M0から3.0.16、バージョン4.0.0-M0から4.0.7、およびバージョン4.1.0-M0から4.1.2に影響します。セキュリティ研究者のAlon Galili氏がこの脆弱性の報告者としてクレジットされています。
CVE-2026-77147はsyncope-core-springコンポーネントに影響するもので、コード生成の不適切な制御、いわゆるコードインジェクションの脆弱性に分類されています。
この脆弱性により、十分なImplementations権限を持つ管理者は、静的なCommandArgs実装内に信頼できないコードを含む悪意あるGroovy Commandクラスを作成できてしまいます。
サンドボックスの回避に成功すると、悪意を持った権限保有管理者が、本来想定されている制限を超えてコードを持ち込み実行できる恐れがあります。この問題はSyncopeの3.0.0-M0から3.0.16、4.0.0-M0から4.0.7、4.1.0-M0から4.1.2に影響します。
CVE-2026-73178はsyncope-core-provisioning-javaコンポーネントに影響を及ぼすもので、重大な認可上の懸念を露呈させます。十分な権限を持つ管理者は、REST経由で既存のアクセストークンの一覧を取得でき、その中には署名済みのJSON Web Token(JWT)本体も含まれます。
露出したトークン値は、それ以降のRESTリクエストで悪用され、より高い管理権限を持つユーザーになりすますために使われる恐れがあります。
これにより、トークン一覧にアクセスできる管理者が、より高い権限を持つアカウントの身元と権限を乗っ取ることができてしまう、権限昇格の経路が生まれます。
このJWT乗っ取りの問題は、Apache Syncopeのリリース3.0.0-M0から3.0.16、4.0.0-M0から4.0.7、4.1.0-M0から4.1.2に影響します。
Apacheは、この3件の問題を修正するためバージョン4.0.8または4.1.3へのアップグレードを推奨しています。
各組織は、管理者権限の見直しや、タスク検索・実装管理機能へのアクセス制限も行うべきです。さらに、不審なトークン列挙の動き、異常なソート入力、想定外のGroovy実装の作成がないか、REST APIのログを点検することも重要です。
16,000以上のSOCチームがANY.RUNを利用し、脅威調査の効率化と手作業の削減を実現しています。貴チーム向けに詳しく見る
翻訳元: https://cyberpress.org/apache-syncope-flaws-2/
