Kurzfassung

Apache Syncope weist mit CVE-2026-87785 und CVE-2026-87802 zwei kritische Schwachstellen auf, die unter bestimmten Konfigurationen zur Übernahme von Benutzeridentitäten und Berechtigungen führen können. Hinzu kommen mit CVE-2026-82232 und CVE-2026-86460 zwei weitere kritische Lücken, die SQL- beziehungsweise Cypher-Injection ermöglichen. Neu hinzugekommen sind außerdem die kritischen Autorisierungs- und Rechtefehler CVE-2026-77181, CVE-2026-73370, CVE-2026-78330, CVE-2026-73470, CVE-2026-73579, CVE-2026-73668 und CVE-2026-75030, die unzureichende Berechtigungsprüfungen, realm-übergreifende Einsicht in vertrauliche Konfigurationen, unzulässige Suchergebnisse sowie Privilegienausweitungen bis hin zu Administratorrechten betreffen. Die JWT-bezogenen Schwachstellen sind mit CVSS 9.1 beziehungsweise 9.8 bewertet, die Injection-Lücken sowie die weiteren neu gemeldeten Autorisierungsfehler jeweils mit CVSS 9.8. Betroffen sind die Versionslinien 3.0.0-M0 bis 3.0.16, 4.0.0-M0 bis 4.0.7 sowie 4.1.0-M0 bis 4.1.2; als korrigierte Versionen werden 4.0.8 und 4.1.3 genannt.

Was ist passiert?

Apache Syncope ist eine Plattform für Identitäts- und Zugriffsmanagement. Gerade in größeren Umgebungen hängt daran oft die Steuerung von Konten, Rollen, Berechtigungen und angebundenen Diensten. Entsprechend schwer wiegen Fehler in der Token- und Authentifizierungslogik.

Im aktuellen Fall geht es um zwei eng verwandte Probleme. CVE-2026-87785 beschreibt eine Umgehung der Authentifizierung durch Spoofing im Zusammenhang mit interner JWT-Authentifizierung. CVE-2026-87802 betrifft eine unzureichende Prüfung kryptografischer Signaturen, wenn SRA für OAuth 2.0 konfiguriert ist, aber keine JWKS-URI gesetzt wurde.

Neu hinzugekommen sind außerdem zwei kritische Injection-Schwachstellen in unterschiedlichen Persistenzpfaden von Syncope. CVE-2026-82232 beschreibt eine SQL-Injection über unzureichend bereinigte Sortierklauseln bei der Task-Suche. CVE-2026-86460 betrifft eine Cypher-Injection in der Neo4j-Persistenzschicht bei der Verarbeitung bestimmter FIQL-Suchbedingungen.

Zusätzlich sind nun weitere kritische Schwachstellen bekannt geworden, die nicht auf klassische Injection zielen, sondern auf die Durchsetzung von Berechtigungen, Rollen und Realm-Grenzen. CVE-2026-77181 betrifft eine fehlerhafte Autorisierungsprüfung bei ClientApp-Operationen. CVE-2026-73370 beschreibt unvollständige Sicherheitsprüfungen in Pull- und Push-Funktionen des Reconciliation-Service für delegierte Administration. CVE-2026-78330 schließlich ist eine Schwachstelle bei der Privilegienzuweisung, durch die unter offengelegten JWKS-Einstellungen für interne JWT-Authentifizierung nach erfolgreicher Anmeldung eine Ausweitung auf Administratorrechte möglich sein kann.

Hinzu kommen jetzt CVE-2026-73470, CVE-2026-73579, CVE-2026-73668 und CVE-2026-75030. CVE-2026-73470 betrifft die Delegationsverwaltung: Delegationen können demnach mit Rollen erstellt oder aktualisiert werden, die der delegierende Benutzer gar nicht besitzt oder die nicht zum gleichen Realm-Teilbaum gehören, für den die Delegationsverwaltung gewährt wurde. CVE-2026-73579 beschreibt ein Autorisierungsproblem bei Suchanfragen, bei dem der für die Rechteprüfung zentrale Realms-Filter bei nicht rekursiven Suchen leer gerendert werden kann und dadurch Beschränkungen auf die Berechtigungen des Anfragenden wegfallen. CVE-2026-73668 erlaubt es einem Administrator mit ausreichenden Rechten in einem Realm, per REST vollständige Connector-Konfigurationen einschließlich vertraulicher Eigenschaften aus einem anderen Realm auszulesen. CVE-2026-75030 betrifft schließlich fehlende Autorisierung bei Task-Ausführungsrechten, wodurch Administratoren Gruppenmitglieder massenhaft provisionieren oder deprovisionieren können, auch wenn ihnen dafür die gruppenbezogenen Verwaltungsrechte fehlen.

Beide JWT-Schwachstellen können dazu führen, dass Angreifer fremde Identitäten und deren Rechte vortäuschen. Die neu gemeldeten Injection-Lücken erweitern das Risiko zusätzlich in Richtung direkter Datenbankmanipulation beziehungsweise Abfragen in der Graph-Datenhaltung. Mit den weiteren Autorisierungs-, Delegations- und Privilegienfehlern wächst das Gesamtbild über reine Token-Vertrauensprobleme hinaus zu einem breiteren Risiko in zentralen Verwaltungs-, Such- und Administrationspfaden. Das ist für Unternehmen im DACH-Raum vor allem dann relevant, wenn Apache Syncope produktiv für zentrale Identitätsprozesse oder als vorgeschaltete Zugriffskomponente genutzt wird.

Technische Details

Für CVE-2026-87785 und CVE-2026-87802 nennt NVD einen CVSS-Basiswert von 9.1 nach CVSS 3.1 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Das bedeutet: Ein Angriff ist über das Netzwerk möglich, die Hürden sind niedrig, es sind keine Berechtigungen und keine Nutzerinteraktion nötig; die technische Schwere ist damit hoch, sagt aber noch nichts darüber aus, ob die Lücken bereits aktiv ausgenutzt werden.

Bei CVE-2026-87785 liegt das Problem in einer Authentifizierungsumgehung durch Spoofing. Wenn die konfigurierten JWKS-Einstellungen für die interne JWT-Authentifizierung offengelegt werden, mindestens Protokoll und Schlüssel, kann ein Angreifer nach erfolgreicher Anmeldung und mit einem gültigen JWT die Rechte eines anderen Benutzers vortäuschen.

CVE-2026-87802 geht noch direkter auf die Token-Vertrauensstellung. Wenn SRA für OAuth 2.0 betrieben wird, aber keine JWKS-Set-URI hinterlegt ist, kann ein Angreifer beliebige JWTs fälschen. Dadurch lassen sich Benutzeridentitäten und Berechtigungen imitieren, bis hin zu vollem Zugriff auf die über SRA erreichbaren Dienste.

Für die beiden neu hinzugekommenen Schwachstellen CVE-2026-82232 und CVE-2026-86460 nennt NVD jeweils einen CVSS-Basiswert von 9.8 nach CVSS 3.1 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Damit sind neben Vertraulichkeit und Integrität auch Auswirkungen auf die Verfügbarkeit im Höchstbereich angelegt.

Bei CVE-2026-82232 handelt es sich um eine SQL-Injection in Apache Syncope. Laut NVD kann ein Administrator mit ausreichenden Berechtigungen über gestapelte SQL-Abfragen beliebigen SQL-Code ausführen, indem unsanitierte Sortierklauseln bei der Task-Suche ausgenutzt werden.

CVE-2026-86460 beschreibt eine Cypher-Injection in der Neo4j-Persistenzschicht, ausgelöst bei der Verarbeitung bestimmter FIQL-Suchbedingungen. Auch hier liegt der Kern des Problems in einer unzureichenden Absicherung von Suchparametern gegenüber der darunterliegenden Abfragesprache.

Für die zusätzlich gemeldeten CVE-2026-77181, CVE-2026-73370, CVE-2026-78330, CVE-2026-73470, CVE-2026-73579, CVE-2026-73668 und CVE-2026-75030 nennt NVD jeweils ebenfalls einen CVSS-Basiswert von 9.8 nach CVSS 3.1 mit dem Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Technisch bedeutet das auch hier: Ausnutzung über das Netzwerk, geringe Komplexität, keine erforderlichen Berechtigungen und keine Nutzerinteraktion.

Bei CVE-2026-77181 geht es um eine fehlerhafte Autorisierungslogik rund um ClientApp-Operationen. Laut Beschreibung wird für Update-Vorgänge nicht das zugehörige Update-Recht geprüft, sondern das Create-Entitlement sowohl für Erstellen als auch Aktualisieren herangezogen. Das spricht für eine inkonsistente Berechtigungsdurchsetzung in einem administrativen Pfad.

CVE-2026-73370 betrifft unvollständige Sicherheitsprüfungen bei Pull- und Push-Operationen des Reconciliation-Service im Kontext delegierter Administration. Dadurch könnten Aufrufe von Administratoren akzeptiert werden, denen die dafür eigentlich erforderlichen Berechtigungen fehlen.

CVE-2026-78330 beschreibt eine fehlerhafte Privilegienzuweisung. Wenn die konfigurierten JWKS-Einstellungen für die interne JWT-Authentifizierung offengelegt werden, mindestens Protokoll und Schlüssel, kann ein Angreifer nach erfolgreicher Anmeldung und mit einem gültigen JWT Administratorrechte erlangen. Inhaltlich überschneidet sich das mit den bereits bekannten JWT-bezogenen Risiken, geht in der Wirkung aber explizit auf eine Privilegienausweitung bis zur Admin-Ebene.

CVE-2026-73470 erweitert dieses Bild um ein Problem in der Delegationsverwaltung. Delegationen lassen sich laut NVD mit Rollen anlegen oder aktualisieren, die der delegierende Benutzer nicht besitzt oder die außerhalb des Realm-Teilbaums liegen, für den überhaupt Delegationsrechte vergeben wurden. Technisch ist das ein klassischer Fehler im Privilegienmanagement, weil Zuständigkeiten und Rollenbesitz nicht sauber an die Delegation gebunden werden.

Bei CVE-2026-73579 liegt der Fehler in der Autorisierung von Suchanfragen. Suchrequests werden je nach Deployment in SQL-, Neo4j- oder Elasticsearch- beziehungsweise OpenSearch-Abfragen übersetzt. Ein zentrales Element ist dabei der Realms-Filter zur Begrenzung der Ergebnisse auf die Rechte des Anfragenden. Bei nicht rekursiven Suchanfragen kann dieser Filter laut NVD leer gerendert werden, wodurch die vorgesehenen Einschränkungen entfallen.

CVE-2026-73668 betrifft den Schutz vertraulicher Connector-Konfigurationen über Realm-Grenzen hinweg. Ein Administrator mit ausreichenden Entitlements in einem Realm kann demnach per REST die vollständige Connector-Konfiguration eines anderen Realms auslesen, einschließlich vertraulicher Eigenschaften. Laut Beschreibung kann das praktisch dazu führen, dass eine solche Connector-Instanz wirksam in einen Realm mit eigenen Administrationsrechten dupliziert wird.

CVE-2026-75030 beschreibt fehlende Autorisierung bei Task-Ausführungsrechten. Administratoren mit entsprechenden Entitlements zur Task-Ausführung könnten Gruppenmitglieder massenhaft provisionieren oder deprovisionieren, unabhängig von ihren eigentlichen gruppenbezogenen Administrationsrechten. Das deutet auf eine fehlende Kopplung zwischen Ausführungsrechten und den fachlichen Zuständigkeiten für die betroffenen Gruppen hin.

Verfügbarkeit steht bei den ursprünglichen JWT-bezogenen CVSS-Vektoren nicht im Vordergrund, die Risiken liegen dort klar bei Vertraulichkeit und Integrität. Bei den Injection-Lücken und den neu gemeldeten Autorisierungs-, Delegations- und Privilegienfehlern kommen dagegen auch potenzielle Auswirkungen auf die Verfügbarkeit hinzu. Praktisch heißt das: Datenzugriffe, Rechteausweitung, missbräuchliche Nutzung angebundener Anwendungen, unzulässige Verwaltungsoperationen, realm-übergreifendes Auslesen sensibler Konfigurationen, zu weit reichende Suchergebnisse und im Fall der Injection-Schwachstellen auch weitergehende Manipulationen der Persistenzschicht sind das eigentliche Problem.

Wer ist betroffen?

Betroffen sind laut NVD dieselben Apache-Syncope-Versionen bei allen vier CVEs:

  • 3.0.0-M0 bis 3.0.16
  • 4.0.0-M0 bis 4.0.7
  • 4.1.0-M0 bis 4.1.2

Das gilt nach den neu hinzugekommenen Meldungen auch für CVE-2026-77181, CVE-2026-73370, CVE-2026-78330, CVE-2026-73470, CVE-2026-73579, CVE-2026-73668 und CVE-2026-75030. Als behobene Versionen werden damit für alle bislang genannten Schwachstellen weiterhin 4.0.8 und 4.1.3 genannt. Ob ältere, nicht genannte Hauptversionen oder Sonderbuilds ebenfalls betroffen sind, geht aus den veröffentlichten Informationen nicht hervor.

Relevant ist die Meldung vor allem für Organisationen, die Apache Syncope selbst betreiben. Für die meisten Privatnutzer spielt der Fall keine direkte Rolle, weil es sich um eine serverseitige IAM-Komponente für Unternehmensumgebungen handelt.

Besonders aufmerksam sollten Betreiber sein, die Task-Suchen, FIQL-basierte Suchfunktionen oder eine Neo4j-basierte Persistenz im Einsatz haben. Die neuen CVEs zeigen, dass sich das Risiko nicht nur auf Token-Vertrauen und Authentifizierung beschränkt, sondern auch Such- und Datenzugriffspfade betrifft.

Zusätzlich relevant sind Umgebungen, in denen ClientApp-Verwaltung, delegierte Administration sowie Pull- und Push-Prozesse des Reconciliation-Service aktiv genutzt werden. Gerade dort können fehlerhafte Autorisierungsprüfungen praktische Auswirkungen auf Verwaltungsabläufe und Rechtegrenzen haben.

Noch wichtiger werden nun Installationen, in denen Delegationen aktiv gepflegt werden, nicht rekursive Suchabfragen auf Realm-Basis eine Rolle spielen, Connectoren mit vertraulichen Eigenschaften über mehrere Realms verwaltet werden oder Task-Ausführungsrechte von den eigentlichen Gruppenverwaltungsrechten organisatorisch getrennt sind. Gerade in komplexeren IAM-Strukturen mit vielen Teilbereichen und delegierten Zuständigkeiten können solche Fehler besonders weitreichende Folgen haben.

Empfohlene Maßnahmen

  1. Version sofort prüfen. Erfassen Sie alle Apache-Syncope-Instanzen einschließlich Test-, Integrations- und Altumgebungen. Achten Sie besonders auf Installationen in den Bereichen IAM, Provisionierung und SSO-nahe Architekturen.
  2. Auf korrigierte Versionen aktualisieren. Planen Sie ein zügiges Upgrade auf 4.0.8 oder 4.1.3, sofern Ihre Umgebung auf den betroffenen Versionslinien läuft. Wer noch auf 3.0.16 oder älter sitzt, sollte die Migrations- und Upgrade-Pfade umgehend bewerten.
  3. JWT- und JWKS-Konfiguration prüfen. Kontrollieren Sie, ob interne JWT-Mechanismen unnötig offenliegen und ob sensible JWKS-Informationen preisgegeben werden können. Bei SRA mit OAuth 2.0 ist besonders wichtig, dass eine korrekte JWKS-Set-URI gesetzt und die Signaturprüfung sauber erzwungen wird.
  4. Such- und Persistenzpfade auf Injection- und Autorisierungsrisiken prüfen. Überprüfen Sie insbesondere Task-Suchen mit Sortierparametern sowie FIQL-basierte Suchfunktionen. Falls Neo4j als Persistenzschicht genutzt wird, sollten Sie Suchbedingungen und deren Verarbeitung besonders kritisch betrachten. Prüfen Sie zusätzlich, ob nicht rekursive Suchanfragen Realm-Filter korrekt erzwingen und keine zu weit reichenden Treffer liefern.
  5. Administrative Berechtigungsmodelle prüfen. Kontrollieren Sie die Entitlement-Zuordnung für ClientApp-Erstellung und -Aktualisierung sowie die Rechtevergabe in der delegierten Administration. Prüfen Sie insbesondere, ob Pull- und Push-Funktionen des Reconciliation-Service nur den dafür vorgesehenen Rollen offenstehen.
  6. Delegationen und Realm-Grenzen validieren. Überprüfen Sie bestehende Delegationen darauf, ob dort Rollen hinterlegt sind, die der delegierende Benutzer nicht besitzen dürfte oder die außerhalb des vorgesehenen Realm-Teilbaums liegen. Kontrollieren Sie außerdem, ob Connector-Konfigurationen und deren vertrauliche Eigenschaften strikt auf die jeweils zulässigen Realms begrenzt bleiben.
  7. Task-Ausführung und Gruppenverwaltung entkoppelt bewerten. Prüfen Sie, welche Administratoren Task-Ausführungsrechte besitzen und ob sich damit Provisionierungs- oder Deprovisionierungsaktionen für Gruppen außerhalb ihrer eigentlichen Zuständigkeit auslösen lassen.
  8. Token-Vertrauen und Proxydienste absichern. Prüfen Sie, welche nachgelagerten Anwendungen über SRA erreichbar sind und welche Rechte dort aus Syncope-Tokens abgeleitet werden. Reduzieren Sie übermäßige Privilegien und beschränken Sie administrative Rollen.
  9. Protokolle rückwirkend auswerten. Suchen Sie nach ungewöhnlichen Anmeldungen, Token-Nutzung mit auffälligen Rollenwechseln, Zugriffen auf administrative Funktionen, unerwarteten Identitätswechseln und auffälligen Suchabfragen. Achten Sie zusätzlich auf realm-übergreifende Zugriffe auf Connector-Konfigurationen, Änderungen an Delegationen mit unplausiblen Rollen sowie Massen-Provisionierungsaktionen bei Gruppen. Gerade bei zentralem IAM sollten Sie diese Prüfung nicht auf den Syncope-Server begrenzen, sondern auch angebundene Dienste und gegebenenfalls Datenbank-, Neo4j- oder Suchbackend-Logs einbeziehen.
  10. Zugangsdaten und Token-Lebensdauer überprüfen. Falls ein Verdacht auf Missbrauch besteht, rotieren Sie relevante Schlüssel, Sitzungen und Token-Material. Verkürzen Sie, wo möglich, Token-Gültigkeiten und erzwingen Sie Neuauthentifizierung für privilegierte Benutzer.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil die Schwachstellen gleich mehrere Vertrauensebenen einer Identitätsplattform treffen. Wenn sich Identitäten und Rechte per JWT manipulieren lassen, Verwaltungsrechte unzureichend geprüft werden, Realm-Filter bei Suchen ins Leere laufen können, vertrauliche Connector-Konfigurationen realm-übergreifend lesbar sind und zugleich Such- oder Persistenzpfade für SQL- oder Cypher-Injection offenstehen, ist das kein isolierter Produktfehler mehr, sondern potenziell ein Durchgriff auf viele angebundene Systeme und Datenbestände.

Positiv ist, dass betroffene Versionsbereiche und korrigierte Releases klar benannt sind. Weniger hilfreich ist, dass ohne zusätzliche Herstellerdetails offenbleibt, wie häufig die riskanten Konfigurationen in realen Installationen vorkommen und in welchem Umfang die neu gemeldeten Injection-, Such-, Delegations- und Autorisierungspfade praktisch ausnutzbar sind. Unternehmen sollten deshalb nicht nur patchen, sondern ihre konkrete Syncope-Konfiguration sowie Such-, Verwaltungs-, Delegations- und Persistenznutzung prüfen. Genau daran entscheidet sich hier das tatsächliche Risiko.

Für viele Leser ist das kein Breitenthema, weil Apache Syncope kein Massenprodukt ist. Wer die Plattform jedoch produktiv für Zugriffssteuerung oder vorgeschaltete Dienste einsetzt, sollte den Fall mit hoher Priorität behandeln.

Fazit

Wenn Sie Apache Syncope betreiben, sollten Sie die installierte Version sowie die JWT-, JWKS-, SRA-, Berechtigungs-, Delegations- und Suchkonfiguration sofort prüfen und zeitnah auf 4.0.8 oder 4.1.3 aktualisieren. Besonders kritisch sind Umgebungen, in denen Syncope zentrale Identitäten oder den Zugriff auf weitere Dienste steuert und in denen Task-Suchen, FIQL-Abfragen, Neo4j-Persistenz, ClientApp-Verwaltung, Delegationen, Connector-Verwaltung über mehrere Realms oder delegierte Administrationsfunktionen aktiv genutzt werden.

Wer keine Syncope-Instanz im Einsatz hat, ist von diesen CVEs nicht direkt betroffen. Für betroffene Unternehmen ist das Thema dagegen klar patchwürdig und gehört kurzfristig auf die Aufgabenliste von IAM- und Security-Teams.

Quellenangabe