CVE-2026-113687
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Apache Syncope (versions 3.0.0-M0 à 3.0.16, 4.0.0-M0 à 4.0.8 et 4.1.0-M0 à 4.1.3) est un système de gestion d'identités utilisé pour provisionner et gérer des comptes utilisateurs. La faille réside dans la manière dont le logiciel gère les scripts Groovy, utilisés pour personnaliser le comportement du système. Plus précisément, le bac à sable (sandbox) de sécurité destiné à isoler ces scripts peut être contourné par la création d'une classe malveillante exécutant du code sur un thread séparé.
Un attaquant disposant de privilèges d'administrateur peut exploiter cette vulnérabilité pour exécuter du code arbitraire et non approuvé sur le serveur hôte. Cela représente un compromis complet de l'intégrité et de la confidentialité du système, car l'attaquant peut contourner les restrictions de permissions pour lancer des commandes directement sur le système d'exploitation. Comme cela nécessite des droits administratifs de haut niveau pour accéder à la section « Implementations », l'attaque ne peut pas être effectuée par un utilisateur externe non authentifié.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Improper isolation or compartmentalization vulnerability in Apache Syncope. An administrator with adequate entitlements for Implementations can create a malicious Groovy class running untrusted code on a separate Thread, thus bypassing the Groovy security sandbox. This issue affects Apache Syncope: from 3.0.0-M0 through 3.0.16, from 4.0.0-M0 through 4.0.8, from 4.1.0-M0 through 4.1.3. Users are recommended to upgrade to version 4.0.9 / 4.1.4, which fix this issue.