Apache Syncope، سامانه‌ی متن‌باز مدیریت هویت، در برابر اجرای کد از راه دور (RCE) از طریق ویژگی اسکریپت‌نویسی Groovy آسیب‌پذیر شناخته شد؛ این مشکل با شناسه CVE-2025-57738 گزارش شده است.
این نقص نسخه‌های قبل از ۳.۰.۱۴ و ۴.۰.۲ را تحت تأثیر قرار می‌دهد، که در آن‌ها مدیران می‌توانند کد Groovy مخرب را آپلود کنند و این کد با مجوزهای کامل فرایند Syncope Core اجرا می‌شود.
پژوهشگر امنیتی Mike Cole از Mantel Group این آسیب‌پذیری را کشف کرد. ریشه‌ی مشکل در عدم وجود محیط sandbox برای اجرای Groovy است، که می‌تواند مهاجمان را قادر سازد سیستم‌ها را به‌طور کامل تسخیر کنند.
مسئله از اینجا ناشی می‌شود که Syncope به کاربران اجازه می‌دهد عملکرد هسته‌ای را با واسط‌های سفارشی (custom Java interfaces) توسعه دهند، و این واسط‌ها می‌توانند به‌صورت Java class یا اسکریپت‌های Groovy پیاده‌سازی شوند تا امکان hot-reloading در زمان اجرا فراهم شود.
در نسخه‌های آسیب‌پذیر، GroovyClassLoader این اسکریپت‌ها را بدون محدودیت compile و execute می‌کند و APIهای پرخطر مانند Runtime.exec یا ProcessBuilder به ورودی‌های غیرقابل اعتماد در دسترس قرار می‌گیرند.
این طراحی به مدیران تفویض‌شده‌ای (delegated administrators) که به Implementations و Reports APIs دسترسی دارند امکان می‌دهد کدی را تزریق کنند که عملیات دلخواهی را روی سرور انجام دهد.
جزئیات فنی و سطوح خطر
-
معماری Syncope شامل انتزاع «Implementation» برای منطق سفارشی است و Groovy یکی از موتورهای پشتیبانی‌شده است.
-
بدون security manager یا deny-list مناسب، کد Groovy آپلودشده می‌تواند مستقیماً توابع سطح‌سیستم را فراخوانی کند (مثلاً دسترسی به فایل‌سیستم یا اجرای پروسس).
-
مهاجمان می‌توانند یک Implementation از نوع REPORT_DELEGATE بسازند، آن را به یک گزارش متصل کنند و با فراخوانی endpointهای REST مانند
POST /syncope/rest/reports/{key}/executeاجرای آن را تحریک کنند. -
این اجرا تحت حساب سرویس Syncope انجام می‌شود که اغلب در استقرارهای سازمانی دارای امتیازات بالا است.
-
بازتولید مسئله با ارسال درخواست‌های HTTP ساده و استفاده از basic authentication امکان‌پذیر است؛ برای مثال آپلود اسکریپتی که فایلی در
/tmpایجاد کند اثبات اجرا را نشان می‌دهد. -
آسیب‌پذیری به تصدیق هویت پیش‌نیاز ندارد اما نیازمند انتفاعات مدیریتی است؛ این موضوع آن را به تهدیدی با ریسک بالا برای حساب‌های داخلی یا حساب‌های به‌خطرافتاده تبدیل می‌کند.
-
سطوح اجرایی شامل reports، tasks و connectors می‌شود و در نتیجه مسیرهای حمله متنوعی برای نفوذ فراهم می‌آید. در محیط‌هایی با سخت‌افزار/نرم‌افزار ضعیف، مهاجم می‌تواند متغیرهای محیطی را برای یافتن اسرار بررسی کند، فایل بنویسد یا از طریق container hostها pivot کند.
-
این تاکتیک‌ها با ماتریس MITRE ATT&CK هم‌تراز هستند، از جمله Valid Accounts (T1078) و Command and Scripting Interpreter (T1059)، که امکان پایداری و فرار از شناسایی را فراهم می‌کنند.
رفع و کاهش خطر
-
Apache این مشکل را در نسخه‌های ۳.۰.۱۴ و ۴.۰.۲ برطرف کرده است. اصلاحات شامل معرفی Groovy sandbox است که عملیات خطرناک را از طریق محدودیت‌های classloading و اعمال سیاست‌ها مسدود می‌کند.
-
کاربران باید فوراً به این نسخه‌ها ارتقاء دهند؛ پچ‌های باینری ارائه نشده‌اند، بنابراین در صورت نیاز باید از سورس بازسازی (rebuild from source) انجام شود.
-
برای تایید رفع آسیب‌پذیری، همان گام‌های exploit قبلی را اجرا کنید؛ در صورت اعمال sandbox، خطاهای policy/log باید ثبت شوند و کد اجرا نشود.
-
اقدامات موقت و میان‌مدت: غیرفعال‌سازی Groovy engines و ترجیح دادن پیاده‌سازی‌های Java موردبازبینی (vetted Java implementations) از طریق CI/CD تا زمانی که سیستم‌ها ارتقاء یابند.
-
محدودسازی دسترسی‌های مدیریتی به Implementations و Reports APIs، اعمال least privilege برای حساب‌های Syncope service، و نظارت دقیق بر فراخوانی‌های REST و فعالیت‌های مشکوک در Task Scheduler/Reports توصیه می‌شود.
یک نظر