Apache Syncope: утечка JWT-токенов доступа CVE-2026-73178
В Apache Syncope обнаружена уязвимость раскрытия конфиденциальной информации (CVE-2026-73178): администратор с определёнными правами может через REST получить список активных Access Tokens вместе с их подписанными JWT. Это позволяет выдавать себя за пользователей с более высокими привилегиями. Проблема затрагивает ветки 3.0.x, 4.0.x и 4.1.x.
Подробности
Уязвимость затрагивает Apache Syncope — продукт Apache Software Foundation, применяемый для централизованного управления идентификацией и доступами. Согласно описанию, администратор, обладающий достаточными полномочиями, может через REST-интерфейс получить список существующих Access Tokens, включая их подписанное тело JWT. Полученные значения затем можно использовать для выполнения дальнейших REST-запросов от имени пользователей с более высокими административными правами, то есть фактически для захвата токенов доступа. Тип уязвимости — CWE-200, Exposure of Sensitive Information to an Unauthorized Actor (раскрытие конфиденциальной информации). Значение CVSS в записи CVE не приводится. Уязвимые версии Apache Syncope: - от 3.0.0-M0 до 3.0.16 включительно; - от 4.0.0-M0 до 4.0.7 включительно; - от 4.1.0-M0 до 4.1.2 включительно. Ключевая опасность заключается в эскалации привилегий: злоумышленник, уже имеющий административный доступ ограниченного уровня, может перехватить JWT более привилегированных пользователей и действовать от их имени, обходя разграничение прав.Что делать
Разработчики рекомендуют обновить Apache Syncope до версии 4.0.8 или 4.1.3, в которых проблема устранена. Это основной и наиболее надёжный способ закрытия уязвимости. До установки обновления целесообразно применить компенсирующие меры: - ограничить круг администраторов, имеющих доступ к REST-эндпоинтам управления токенами; - провести ревизию выданных Access Tokens и отозвать подозрительные или избыточные; - усилить мониторинг обращений к REST API, особенно запросов на получение списков токенов; - по возможности сократить время жизни JWT, чтобы уменьшить окно эксплуатации перехваченных токенов. Также стоит проверить журналы доступа на предмет попыток несанкционированного получения списка Access Tokens и использования чужих JWT. Итог: CVE-2026-73178 — серьёзная уязвимость в Apache Syncope, позволяющая захватить JWT-токены доступа и повысить привилегии в системе. Всем организациям, использующим затронутые версии, следует как можно быстрее перейти на 4.0.8 или 4.1.3 и проверить активные токены на предмет компрометации.Источник: CVE Project (cvelistV5)