Podatności Apache Syncope

Podatność niepoprawnej autoryzacji w Apache Syncope dotyczy usługi Reconciliation (pull i push). Ze względu na niekompletne sprawdzenia bezpieczeństwa delegowanej administracji, wywołania od administratorów bez odpowiednich uprawnień mogą zostać zaakceptowane, co pozwala na niedozwolone działania.

Podatność nieprawidłowego przypisania uprawnień w Apache Syncope. Gdy ujawnione zostaną ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (przynajmniej protokół i klucz), atakujący po pomyślnym uwierzytelnieniu i uzyskaniu ważnego JWT z niskimi uprawnieniami może uzyskać uprawnienia administratora.

W Apache Syncope występuje luka nieprawidłowej autoryzacji. Administrator posiadający uprawnienie do aktualizacji ClientApp nie może wykonać powiązanej operacji, natomiast uprawnienie do tworzenia ClientApp jest sprawdzane zarówno dla operacji tworzenia, jak i aktualizacji.

W Apache Syncope występuje luka SQL Injection wynikająca z niewłaściwej neutralizacji specjalnych elementów w zapytaniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny kod SQL poprzez zapytania złożone, wykorzystując nieoczyszczone parametry entityKey i opEvent.

W Apache Syncope występuje luka braku autoryzacji. Administrator posiadający uprawnienia do wykonywania zadań może masowo tworzyć lub usuwać członkostwa w grupach, niezależnie od swoich uprawnień administracyjnych związanych z grupami.

W Apache Syncope występuje luka nieprawidłowej autoryzacji. Administrator z odpowiednimi uprawnieniami w danym Realmie może odczytać przez REST pełną konfigurację Connectora, w tym poufne właściwości, należącego do innego Realm, a następnie zduplikować tę instancję Connectora w Realmie, w którym ma uprawnienia administracyjne.

W Apache Syncope występuje luka nieprawidłowej autoryzacji. Żądania wyszukiwania są przekształcane na zapytania SQL, Neo4J lub Elasticsearch/Opensearch, a filtr Realms mający ograniczać wyniki do uprawnień żądającego może zostać wyrenderowany jako pusty dla żądań niecyklicznych, znosząc ograniczenia uprawnień.

W Apache Syncope występuje luka nieprawidłowego zarządzania uprawnieniami. Delegacje mogą być tworzone lub aktualizowane z rolami nienależącymi do delegującego użytkownika lub spoza poddrzewa Realm, dla którego przyznano zarządzanie delegacjami.

W Apache Syncope występuje podatność polegająca na nieprawidłowej weryfikacji podpisu kryptograficznego. Gdy SRA jest skonfigurowane dla OAuth 2.0 bez przypisanego URI JWKS, atakujący może sfałszować dowolne tokeny JWT, podszywając się pod dowolną tożsamość i uprawnienia użytkownika oraz uzyskując pełny dostęp do usług proxy SRA.

W Apache Syncope występuje podatność umożliwiająca obejście uwierzytelniania poprzez podszywanie się. Gdy ujawnione zostaną skonfigurowane ustawienia JWKS dla wewnętrznego uwierzytelniania JWT (co najmniej protokół i klucz), atakujący może podszyć się pod uprawnienia innego użytkownika po pomyślnym uwierzytelnieniu i uzyskaniu ważnego tokenu JWT.

W warstwie trwałości Neo4j w Apache Syncope występuje podatność na wstrzyknięcie Cypher podczas przetwarzania niektórych warunków wyszukiwania FIQL. Może to pozwolić na manipulację zapytaniami do bazy grafowej.

W Apache Syncope występuje podatność typu SQL injection wynikająca z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL. Administrator z odpowiednimi uprawnieniami może wykonać dowolny SQL poprzez zapytania złożone (stacked queries), wykorzystując nieoczyszczone klauzule sortowania w wyszukiwaniu zadań.

W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, omijając zabezpieczenia piaskownicy Groovy.

W Apache Syncope wykryto podatność polegającą na nieprawidłowym zarządzaniu uprawnieniami. Użytkownik może poprzez wywołanie REST API samodzielnie nadać sobie role administratora, uzyskując tym samym pełną kontrolę nad systemem. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.

Podatność SQL Injection w Apache Syncope pozwala administratorowi z odpowiednimi uprawnieniami na wykonanie dowolnego kodu SQL poprzez niesanitowane parametry sortowania. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1.

W Apache Syncope wykryto podatność polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może zdalnie wykonać kod poprzez podsystem łączników, wykorzystując skryptowe łączniki (REST i SQL) do uruchamiania skryptów Groovy.

W Apache Syncope wykryto podatność polegającą na braku izolacji skryptów Groovy w procesach BPMN. Administrator z odpowiednimi uprawnieniami może zaimportować dowolną definicję procesu BPMN przez REST API, a następnie uruchomić go, co skutkuje wykonaniem skryptu Groovy bezpośrednio na serwerze bez piaskownicy.

Podatność niepoprawnej autoryzacji w Apache Syncope wynika z błędnej implementacji sprawdzeń opartych na hierarchii Realm. Kontrola uprawnień prowadzona jest przez dopasowanie prefiksów, co powoduje, że dwa siostrzane Realmy o nazwach zaczynających się od tego samego ciągu znaków nie mogą być poprawnie odróżnione, prowadząc do nieautoryzowanego dostępu.

W Apache Syncope występuje podatność typu Improper Encoding or Escaping of Output. Uwierzytelnieni użytkownicy mogą zapisać ładunek formuły arkusza kalkulacyjnego w jednym ze swoich zwykłych atrybutów. Gdy tacy użytkownicy zostaną uwzględnieni w eksporcie CSV, a wygenerowany plik CSV zostanie otwarty w aplikacji arkusza kalkulacyjnego, formuła może zostać wykonana. Problem dotyczy wersji od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.7 oraz od 4.1.0-M0 do 4.1.2. Zaleca się aktualizację do wersji 4.0.8 / 4.1.3.

Podatność otwartego przekierowania (Open Redirect) w Apache Syncope dotyczy modułu SRA (Syncope REST API) podczas konfiguracji uwierzytelniania CAS. Adres URL docelowego serwera Apereo CAS jest wyznaczany bezwarunkowo na podstawie nagłówków HTTP dostarczanych przez klienta, co umożliwia atakującemu sterowanie celem przekierowania.

Podatność polegająca na umieszczeniu wrażliwych informacji w wysyłanych danych w Apache Syncope. Każdy uwierzytelniony użytkownik może zapytać o listę dostępnych dostawców OIDC skonfigurowanych dla SSO w konsolach Console i Enduser. Zwracana odpowiedź zawiera wszystkie ustawienia, w tym sekrety klientów, niezależnie od przysługujących uprawnień.

W Apache Syncope wykryto podatność typu cross-site scripting (XSS) wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania stron. Wiadomość powiadomienia wyświetlana na stronach logowania Console i Enduser może zawierać niebezpieczne znaczniki HTML z inline JS, co można wykorzystać poprzez złośliwe linki HTTP. Problem dotyczy wersji od 4.0.4 do 4.0.7 oraz od 4.1.0-M0 do 4.1.2.

W Apache Syncope administrator z odpowiednimi uprawnieniami do Derived Schemas może utworzyć złośliwe wyrażenie JEXL, które pozwala innemu administratorowi z uprawnieniami do odczytu użytkownika uzyskać dostęp do wrażliwych informacji LinkedAccount lub Manager, w tym potencjalnie zahashowanych poświadczeń. Problem dotyczy wersji 3.0.0-M0 do 3.0.16, 4.0.0-M0 do 4.0.7 oraz 4.1.0-M0 do 4.1.2.

Podatność na wstrzykiwanie kodu w Apache Syncope. Administrator z odpowiednimi uprawnieniami do Implementations może utworzyć złośliwą klasę Groovy Command zawierającą niezaufany kod w statycznej implementacji CommandArgs, omijając zabezpieczenia piaskownicy Groovy. Problem dotyczy Apache Syncope w wersjach od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.7 oraz od 4.1.0-M0 do 4.1.2. Zalecane jest uaktualnienie do wersji 4.0.8 / 4.1.3, które naprawiają ten problem.

W Apache Syncope zdarzenia audytowe wysyłane do skonfigurowanego magazynu nie są wystarczająco maskowane pod kątem wrażliwych wartości, które mogą zawierać, co pozwala administratorom na dostęp do tych wartości. Problem dotyczy wersji 3.0.0-M0 do 3.0.16, 4.0.0-M0 do 4.0.7 oraz 4.1.0-M0 do 4.1.2.

Podatność w Apache Syncope umożliwia administratorowi z odpowiednimi uprawnieniami uzyskanie dostępu przez REST do listy istniejących tokenów dostępu, w tym ich podpisanych ciał JWT. Zebrane tokeny mogą zostać użyte do dalszych żądań REST, podszywając się pod użytkowników z wyższymi uprawnieniami administracyjnymi.

W Apache Syncope występuje podatność polegająca na umieszczaniu poufnych informacji w pliku dziennika. Gdy skonfigurowany jest klucz AES o niestandardowej długości (innej niż 16/24/32 bajty), Syncope uzupełnia podaną wartość losowymi znakami, a wynikowa wartość klucza jest zapisywana w logach.

W Apache Syncope wykryto podatność SSRF (Server-Side Request Forgery) wymagającą uwierzytelnienia z niskimi uprawnieniami. Problem występuje podczas sprawdzania łączników i zasobów, umożliwiając atakującemu wysyłanie żądań z serwera do wewnętrznych systemów.

Apache Syncope w wersjach 3.0 do 3.0.16, 4.0 do 4.0.5 oraz 4.1.0 zawiera podatność na ujawnienie wrażliwych informacji poprzez złośliwe wyrażenia JEXL w Derived Schemas. Administrator z odpowiednimi uprawnieniami może uzyskać dostęp do danych wrażliwych użytkowników.

W Apache Syncope w wersjach od 3.0 do 3.0.16, od 4.0 do 4.0.5 oraz 4.1.0 odkryto lukę polegającą na niewłaściwej izolacji lub compartmentalizacji. Administrator z odpowiednimi uprawnieniami może utworzyć złośliwą klasę Groovy zawierającą niezaufany kod, który omija sandbox poprzez statyczny inicjalizator klasy. Problem został naprawiony w wersjach 4.0.6 i 4.1.1.