漏洞详情
漏洞编号: CVE-2025-65998
严重等级: 高危（CVSS评分 7.5）
影响组件: Apache Syncope syncope-core 模块 (Maven: org.apache.syncope:syncope-core)
受影响版本:
- 4.x 系列: 版本 >= 4.0.0, < 4.0.3
- 3.x 系列: 版本 < 3.0.15
已修复版本:
- 版本 4.0.3
- 版本 3.0.15
漏洞描述
Apache Syncope 支持配置为使用 AES 加密将用户密码值存储在内部数据库中（此非默认选项）。然而，当启用 AES 加密时，系统会始终使用源代码中硬编码的默认密钥。这使得恶意攻击者一旦能够访问内部数据库的内容，即可利用该硬编码密钥重构出原始的明文密码。
重要说明: 此漏洞不影响同样使用 AES 加密存储的已加密明文属性（encrypted plain attributes）的值。
修复与建议
官方建议所有用户升级到已修复该问题的版本：
- 升级至 3.0.15 版本
- 或升级至 4.0.3 版本
参考链接
- NVD漏洞详情
- Apache邮件列表讨论
- OSS安全公告
- GitHub修复提交：297498e, 9d706af
技术细节
CVSS v3.1 向量: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
- 攻击向量（AV）： 网络
- 攻击复杂度（AC）： 低
- 所需权限（PR）： 无
- 用户交互（UI）： 无
- 影响范围（S）： 未改变
- 机密性影响（C）： 高
- 完整性影响（I）： 无
- 可用性影响（A）： 无
相关弱点： CWE-321 (使用硬编码的加密密钥)