JVNDB-2026-017248

Apache Software FoundationのApache Syncopeにおける隔離または分類に関する脆弱性

Apache Syncopeにおける不適切な分離または区画化の脆弱性です。実装に対して十分な権限を持つ管理者が、クラスの静的初期化子を介してサンドボックス化されていない実行パスに到達する信頼されていないコードを含む悪意のあるGroovyクラスを作成可能です。本問題は、Apache Syncopeのバージョン3.0から3.0.16、4.0から4.0.5、4.1.0に影響します。ユーザーは、本問題を修正し、Groovyコード内の静的初期化子であってもサンドボックスでの実行を強制するバージョン4.0.6および4.1.1へのアップグレードを推奨します。

Apache Software Foundation

• Apache Syncope 3.0.0 から 3.0.16
• Apache Syncope 4.0.0 以上 4.0.6 未満
• Apache Syncope 4.1.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2026-42782: Apache Syncope: Post-auth RCE via Groovy static-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-42782: Apache Syncope: Post-auth RCE via Groovy static

1. 不適切な隔離または分類(CWE-653) [その他]

1. CVE-2026-42782

1. National Vulnerability Database (NVD) : CVE-2026-42782

• [2026年05月29日]
    掲載