Apache Syncope'ta iki kod çalıştırma açığı: Groovy sandbox ve Flowable JUEL kaçışları 4.0.9 ve 4.1.4 ile kapatıldı
Kimlik ve erişim yönetimi platformu Apache Syncope'taki CVE-2026-113687 ve CVE-2026-109083, yetkili bir yöneticinin sunucuda sandbox dışında kod çalıştırmasına yol açıyor. Apache 4.0.9 ve 4.1.4 sürümlerine geçilmesini öneriyor; CISA'nın zenginleştirme kaydı iki açığa da CVSS 9.8 veriyor.
CVE-2026-113687, CVE-2026-109083
Apache Software Foundation, açık kaynak kimlik ve erişim yönetimi (IAM) platformu Apache Syncope için 2 Kasım'da iki güvenlik bildirimi yayımladı. CVE-2026-113687, Implementation yetkisine sahip bir yöneticinin ayrı bir thread üzerinde çalışan özel bir Groovy sınıfıyla Groovy güvenlik sandbox'ını aşmasına izin veriyor. CVE-2026-109083 ise REST API üzerinden BPMN süreç tanımı içe aktarabilen bir yöneticinin, tanımdaki JUEL ifadelerini sunucuda hiçbir sandbox olmadan çalıştırabilmesinden kaynaklanıyor. İki açığın sonucu da sunucuda uzaktan kod çalıştırma (RCE).
Apache iki açığı da yönetici yetkisi gerektiren sorunlar olarak tanımlıyor ve önem derecesini "important" (CVE-2026-113687) ile "moderate" (CVE-2026-109083) olarak veriyor. CISA'nın 6 Kasım'daki ADP zenginleştirme kaydı ise ikisine de CVSS 3.1 9.8 puanı verdi ve "otomatikleştirilebilir" olarak işaretledi. Aynı kayda göre istismar bilgisi yok; açıklar KEV kataloğunda değil. Syncope'un kimlik verisinin merkezinde durduğu düşünüldüğünde, yönetici hesabı ele geçirilmiş bir ortamda bu açıklar tam sunucu kontrolüne giden kısa bir yol açıyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Apache Syncope 3.0.x | 3.0.0-M0 – 3.0.16 | Apache bu dal için ayrı sürüm belirtmiyor; 4.0.9 / 4.1.4'e geçiş öneriliyor |
| Apache Syncope 4.0.x | 4.0.0-M0 – 4.0.8 | 4.0.9 |
| Apache Syncope 4.1.x | 4.1.0 – 4.1.3 (CVE-2026-113687 için 4.1.0-M0'dan itibaren) | 4.1.4 |
Apache, CVE-2026-109083 düzeltmesinin ifade (expression) öznitelikleri içeren BPMN tanımlarını reddederek çalıştığını belirtiyor. Bu, mevcut iş akışlarınızda JUEL ifadesi kullanan özel BPMN süreçleri varsa güncelleme sonrası bunların içe aktarılamayacağı anlamına geliyor.
Beni etkiliyor mu?
Syncope Core sürümünü ve kurulu Flowable eklentisini dağıtım dizinindeki JAR dosyalarından görebilirsiniz (yol kurulumunuza göre değişir):
ls <syncope-dizini>/lib | grep -i "syncope-core-spring"
ls <syncope-dizini>/lib | grep -i "syncope-ext-flowable"Konsolda ise sürüm bilgisi Syncope Console'un "About" (Hakkında) penceresinde yer alıyor. Flowable eklentisi kurulu değilse CVE-2026-109083'ün saldırı yolu ortamınızda bulunmuyor; CVE-2026-113687 ise Core'u etkiliyor.
Ne yapılmalı?
- 4.0.x kullananlar 4.0.9, 4.1.x kullananlar 4.1.4 sürümüne geçsin. 3.0.x kullananlar için Apache'nin önerisi 4.0.9 ya da 4.1.4'e yükseltme.
- Güncelleme hemen yapılamıyorsa Implementation yönetme ve BPMN süreç tanımı içe aktarma yetkilerini (entitlement) yalnızca zorunlu hesaplara bırakın ve bu hesaplarda MFA kullanın.
- Syncope REST API ve Console'u internete açmayın; erişimi yönetim ağı ya da VPN ile sınırlayın.
- Denetim kayıtlarında beklenmedik yeni Groovy Implementation tanımlarını ve BPMN süreç içe aktarımlarını gözden geçirin.
- Flowable kullanan kurumlar, güncellemeden önce JUEL ifadesi içeren özel süreçlerini test ortamında doğrulasın ve değişikliği change management sürecine alsın.
