CVE-2025-57738
Açıklama
Apache Syncope, birkaç Java arayüzünün özel uygulamalarının sağlanmasına izin vererek her dağıtımda temel davranışın genişletilmesi veya özelleştirilmesi imkanı sunar; bu uygulamalar Java veya Groovy sınıfları olarak sağlanabilir ve çalışma zamanı yeniden yükleme mekanizması nedeniyle özellikle ikincisi caziptir. Bu özellik bir süredir mevcuttu ancak yakın zamanda kötü niyetli bir yöneticinin, çalışan bir Apache Syncope Core örneği tarafından uzaktan yürütülebilecek Groovy kodu enjekte edebileceği keşfedilmiştir. Kullanıcıların, Groovy kodunun bir sandbox içinde çalışmasını zorunlu kılarak bu sorunu gideren 3.0.14 / 4.0.2 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache syncope3.0.14, 4.0.2 ya da sonraki bir sürüm
- org.apache.syncope.core:syncope-core-spring3.0.14, 4.0.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache syncope | 2.1.0 ≤ v < 3.0.14, 4.0.0 ≤ v < 4.0.2 | 3.0.14, 4.0.2 |
| org.apache.syncope.core:syncope-core-springMaven | v < 3.0.14, 4.0.0-M0 ≤ v < 4.0.2 | 3.0.14, 4.0.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.