Parches de lanzamiento de Apache Syncope para múltiples vulnerabilidades de inyección SQL y RCE

Apache ha emitido actualizaciones de seguridad críticas para su plataforma de gestión de identidad y acceso (IAM) Syncope para abordar múltiples vulnerabilidades, incluida la ejecución remota de código (RCE), inyección SQL, escalada de privilegios, falsificación de solicitudes del lado del servidor (SSRF) y divulgación de información. Apache no proporciona revisiones binarias; por lo tanto, los usuarios deben actualizar a las versiones parcheadas o reconstruir las instalaciones a partir del código fuente actualizado para garantizar la seguridad y el soporte continuos.

Parches de lanzamiento de Apache Syncope Una de las vulnerabilidades importantes involucra a RCE, que puede explotarse mediante la integración de Groovy y conectores programables. Los atacantes con privilegios adecuados pueden aprovechar las clases de Groovy o BPMN Groovy ScriptTasks para eludir los controles de seguridad y ejecutar código que no es de confianza directamente en el servidor. Otro problema crítico es una vulnerabilidad de inyección SQL, rastreada como CVE-2026-57308, que afecta la funcionalidad de búsqueda de eventos de auditoría.

Apache aconseja a todos los administradores que actualicen sus sistemas a las últimas versiones seguras, haciendo hincapié en las versiones 4.1.2 y 4.0.7 para mitigar las vulnerabilidades más críticas. La publicación Parches de lanzamiento de Apache Syncope para múltiples vulnerabilidades de inyección SQL y RCE apareció por primera vez en Cyber ​​Security News.

Consultar publicación original ↗