Apache Syncope漏洞允许攻击者访问内部数据库内容

一项影响多个版本的身份和访问管理平台的重大安全问题已被披露。

该漏洞源于用于密码存储的硬编码默认加密密钥，使得能够访问数据库的攻击者可以恢复出明文密码。

该漏洞影响配置为使用AES加密将用户密码存储在内部数据库中的Apache Syncope。

Apache Syncope漏洞详情

虽然此配置选项默认未启用，但专门启用了此功能的组织面临严重风险。当AES加密激活时，系统依赖于直接嵌入源代码中的硬编码默认密钥值。

此设计缺陷意味着，任何获得内部数据库访问权限的攻击者都可以使用公开的默认加密密钥轻松重构出原始明文密码值。

该漏洞不影响加密的明文属性，后者使用单独的AES加密机制，即使在系统遭入侵的情况下也能保持安全。

运行这些版本并启用了AES密码加密的组织应优先立即修复。Apache Syncope已发布修复此漏洞的补丁版本。

用户应升级到版本3.0.15或4.0.3，该版本完全修复了此问题。管理员应首先清点其部署，以确定当前是否启用了AES密码加密。

如果已启用，升级到补丁版本对于防止密码泄露至关重要。该漏洞因其导致大规模凭据被盗的潜力而被评为严重级别。

任何能够访问数据库的攻击者都可以利用硬编码的加密密钥解密存储的密码，从而可能危及受影响系统中的所有用户帐户。

这对于管理大量用户或处理敏感身份数据的组织尤其危险。

使用Apache Syncope的组织应立即检查其加密配置并应用最新的安全补丁。

安全团队还应对在漏洞存在期间可能已暴露凭据的用户进行密码审计。