https://blog.qife122.com/tags/apache-syncope/ Recent content in Apache Syncope on 办公AI智能小助手 Hugo zh-cn qife Mon, 05 Jan 2026 07:42:38 +0800 https://blog.qife122.com/p/apache-syncope-aes%E5%8A%A0%E5%AF%86%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%8F%AF%E8%A2%AB%E8%BF%98%E5%8E%9F/ Mon, 05 Jan 2026 07:42:38 +0800 https://blog.qife122.com/p/apache-syncope-aes%E5%8A%A0%E5%AF%86%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%8F%AF%E8%A2%AB%E8%BF%98%E5%8E%9F/ <h1 id="apache-syncope的aes加密在内部数据库中存储硬编码密码">Apache Syncope的AES加密在内部数据库中存储硬编码密码</h1> <h2 id="漏洞详情">漏洞详情</h2> <p><strong>漏洞编号</strong>: CVE-2025-65998 <strong>严重等级</strong>: 高危 (CVSS评分: 7.5)</p> <h3 id="受影响范围">受影响范围</h3> <p><strong>受影响软件包</strong>:</p> <ul> <li>Maven: <code>org.apache.syncope:syncope-core</code></li> </ul> <p><strong>受影响版本</strong>:</p> <ul> <li>4.x系列: &gt;= 4.0.0, &lt; 4.0.3</li> <li>3.x系列: &lt; 3.0.15</li> </ul> <p><strong>已修复版本</strong>:</p> https://blog.qife122.com/p/apache-syncope%E6%9B%9D%E9%AB%98%E5%8D%B1%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81aes%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%8F%AF%E8%A2%AB%E8%A7%A3%E5%AF%86/ Sat, 03 Jan 2026 07:21:24 +0800 https://blog.qife122.com/p/apache-syncope%E6%9B%9D%E9%AB%98%E5%8D%B1%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81aes%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%8F%AF%E8%A2%AB%E8%A7%A3%E5%AF%86/ <h3 id="漏洞详情">漏洞详情</h3> <p><strong>漏洞编号:</strong> CVE-2025-65998</p> <p><strong>严重等级:</strong> 高危（CVSS评分 7.5）</p> <p><strong>影响组件:</strong> Apache Syncope <code>syncope-core</code> 模块 (Maven: <code>org.apache.syncope:syncope-core</code>)</p> <p><strong>受影响版本:</strong></p> <ul> <li>4.x 系列: 版本 &gt;= 4.0.0, &lt; 4.0.3</li> <li>3.x 系列: 版本 &lt; 3.0.15</li> </ul> <p><strong>已修复版本:</strong></p> <ul> <li>版本 4.0.3</li> <li>版本 3.0.15</li> </ul> <h3 id="漏洞描述">漏洞描述</h3> <p>Apache Syncope 支持配置为使用 AES 加密将用户密码值存储在内部数据库中（此非默认选项）。然而，当启用 AES 加密时，系统会始终使用源代码中硬编码的默认密钥。这使得恶意攻击者一旦能够访问内部数据库的内容，即可利用该硬编码密钥重构出原始的明文密码。</p> https://blog.qife122.com/p/apache-syncope-%E8%87%B4%E5%91%BD%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E8%87%B4%E5%AF%86%E7%A0%81%E6%95%B0%E6%8D%AE%E5%85%A8%E9%9D%A2%E6%9A%B4%E9%9C%B2/ Mon, 15 Dec 2025 09:16:27 +0800 https://blog.qife122.com/p/apache-syncope-%E8%87%B4%E5%91%BD%E6%BC%8F%E6%B4%9E%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E8%87%B4%E5%AF%86%E7%A0%81%E6%95%B0%E6%8D%AE%E5%85%A8%E9%9D%A2%E6%9A%B4%E9%9C%B2/ <p>一个被标识为 <strong>CVE-2025-65998</strong> 的关键漏洞在 Apache Syncope 中被发现，这是一个广泛使用的开源身份管理系统。此漏洞可能导致敏感密码信息暴露，突显了硬编码加密密钥和相关密钥管理实践不当所带来的风险。</p> https://blog.qife122.com/p/apache-syncope-%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E6%BC%8F%E6%B4%9Ecve-2025-65998%E6%9A%B4%E9%9C%B2aes%E5%8A%A0%E5%AF%86%E5%AF%86%E7%A0%81/ Mon, 15 Dec 2025 05:36:22 +0800 https://blog.qife122.com/p/apache-syncope-%E7%A1%AC%E7%BC%96%E7%A0%81%E5%AF%86%E9%92%A5%E6%BC%8F%E6%B4%9Ecve-2025-65998%E6%9A%B4%E9%9C%B2aes%E5%8A%A0%E5%AF%86%E5%AF%86%E7%A0%81/ <h1 id="apache-syncope-passwords-at-risk-from-newly-disclosed-cve-2025-65998">Apache Syncope Passwords at Risk from Newly Disclosed CVE-2025-65998</h1> <p>在Apache Syncope（一款广泛使用的开源身份管理系统）中发现了一个关键安全漏洞，该漏洞可能导致组织暴露敏感的密码信息。</p> https://blog.qife122.com/p/apache-syncope%E5%9B%A0%E7%A1%AC%E7%BC%96%E7%A0%81aes%E5%8A%A0%E5%AF%86%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ Wed, 10 Dec 2025 01:29:21 +0800 https://blog.qife122.com/p/apache-syncope%E5%9B%A0%E7%A1%AC%E7%BC%96%E7%A0%81aes%E5%8A%A0%E5%AF%86%E5%AF%86%E9%92%A5%E5%AF%BC%E8%87%B4%E5%AF%86%E7%A0%81%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E5%89%96%E6%9E%90/ <h2 id="漏洞详情">漏洞详情</h2> <h3 id="包信息">包信息</h3> <p><strong>包管理器</strong>: Maven <strong>受影响包</strong>: <code>org.apache.syncope:syncope-core</code></p> <h3 id="受影响的版本">受影响的版本</h3> <ul> <li>大于等于 4.0.0，小于 4.0.3 的版本</li> <li>小于 3.0.15 的版本</li> </ul> <h3 id="已修复的版本">已修复的版本</h3> <ul> <li>4.0.3</li> <li>3.0.15</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Apache Syncope 可以配置为使用 AES 加密将用户密码值存储在其内部数据库中，尽管这不是默认选项。当配置使用 AES 加密时，系统始终使用源代码中硬编码的默认密钥值。这使得恶意攻击者一旦获取到内部数据库的内容，就能够重构出原始的明文密码值。</p> https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ Sun, 02 Nov 2025 16:03:13 +0800 https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ <h2 id="漏洞详情">漏洞详情</h2> <p><strong>包名</strong>: maven:org.apache.syncope.core:syncope-core-spring (Maven)</p> <p><strong>受影响版本</strong>:</p> <ul> <li>&lt; 3.0.14</li> <li> <blockquote> <p>= 4.0.0-M0, &lt; 4.0.2</p> </blockquote> </li> </ul> <p><strong>已修复版本</strong>:</p> <ul> <li>3.0.14</li> <li>4.0.2</li> </ul> <h2 id="漏洞描述">漏洞描述</h2> <p>Apache Syncope 提供了通过自定义Java接口实现来扩展/定制基础行为的能力；此类实现可以通过Java或Groovy类提供，后者特别具有吸引力，因为其机制支持运行时重新加载。</p> https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ Thu, 23 Oct 2025 18:25:55 +0800 https://blog.qife122.com/p/apache-syncope%E5%AD%98%E5%9C%A8groovy%E4%BB%A3%E7%A0%81%E6%B3%A8%E5%85%A5%E6%BC%8F%E6%B4%9E%E6%81%B6%E6%84%8F%E7%AE%A1%E7%90%86%E5%91%98%E5%8F%AF%E8%BF%9C%E7%A8%8B%E6%89%A7%E8%A1%8C%E4%BB%A3%E7%A0%81/ <h1 id="apache-syncope允许恶意管理员注入groovy代码">Apache Syncope允许恶意管理员注入Groovy代码</h1> <h2 id="漏洞详情">漏洞详情</h2> <p>Apache Syncope提供了通过自定义Java接口实现来扩展/定制基础行为的能力。此类实现可以通过Java或Groovy类提供，其中Groovy类特别具有吸引力，因为其机制支持运行时重载。</p>