CVE-2026-62183

Apache Syncope — privilege escalation do poziomu administratora przez REST API

CVSS 9.8pub. 2026-07-20upd. 2026-07-27

Podatność Improper Privilege Management w Apache Syncope umożliwia nieuprzywilejowanemu użytkownikowi nadanie sobie dowolnych ról poprzez wywołanie REST API. W efekcie atakujący może uzyskać uprawnienia administracyjne bez żadnej dodatkowej autoryzacji.

▸ Pokaż oryginał (EN)

Improper Privilege Management vulnerability in Apache Syncope. When: * the all-Java user workflow adapter is configured, or * the Flowable user workflow adapter is configured, bearing a BPMN definition not requiring admin approval for user self registration of self update requests the following scenario could happen. A REST API call can allow the user to grant themselves one or more of defined Roles, thus gaining their Entitlements and becoming in fact an administrator; the actual Entitlements gained depend on the Roles that are effectively defined on the specific Syncope deployment. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 Through 4.0.6, from 4.1.0-M0 through 4.1.1. Users are recommended to upgrade to version 4.0.7 / 4.1.2, which fix this issue.

🤖 Analiza AI

Jak działa

Podatność występuje w dwóch konfiguracjach: gdy używany jest adapter przepływu pracy oparty na czystej Javie lub gdy adapter oparty na Flowable zawiera definicję BPMN niewymagającą zatwierdzenia przez administratora przy samodzielnej rejestracji lub aktualizacji danych użytkownika. W takiej konfiguracji wywołanie REST API pozwala zalogowanemu użytkownikowi przypisać sobie jedną lub więcej zdefiniowanych ról w danym wdrożeniu Syncope. Przypisane role niosą ze sobą powiązane uprawnienia (Entitlements), które w praktyce mogą czynić z atakującego administratora systemu.

Skutki

Atakujący może eskalować swoje uprawnienia (privilege escalation) do poziomu administratora, uzyskując dostęp do zasobów i operacji chronionych przez role zdefiniowane w danym wdrożeniu Apache Syncope. Zakres przejętych uprawnień zależy od ról skonfigurowanych w konkretnym środowisku.

Mitygacja

Należy zaktualizować Apache Syncope do wersji 4.0.7 lub 4.1.2, które eliminują tę podatność. Wersja 3.0.x nie otrzymała wskazanej wersji naprawczej — użytkownicy tej gałęzi powinni skonsultować się z referencjami producenta. Jako tymczasowe obejście warto rozważyć wymuszenie zatwierdzenia przez administratora dla wszystkich żądań samodzielnej rejestracji i aktualizacji danych użytkownika w definicji BPMN.

Kogo dotyczy

Apache Syncope w wersjach od 3.0.0-M0 do 3.0.16, od 4.0.0-M0 do 4.0.6 oraz od 4.1.0-M0 do 4.1.1, przy czym podatność jest aktywna wyłącznie w konfiguracji z adapterem przepływu pracy all-Java lub z adapterem Flowable z definicją BPMN niewymagającą zatwierdzenia przez administratora.