Clave AES “hard-coded” en Apache Syncope permite recuperación de contraseñas (CVE-2025-65998) | Centro de Gestión de Incidentes Informáticos

En Apache Syncope, cuando se configura el almacenamiento de contraseñas usando cifrado AES interno, el sistema utiliza una clave fija predeterminada codificada en el código fuente.
Esto representa un fallo de diseño: en lugar de requerir a los administradores definir una clave segura y única, se confía en una clave por defecto, fácilmente conocida o extraíble para quien acceda a la base de datos o al código.
Si un atacante obtiene acceso (o ya lo tiene) al backend de la base de datos de Syncope, puede descifrar todas las contraseñas cifradas con ese AES, obteniendo credenciales en claro, lo que posibilita accesos no autorizados, escalamiento de privilegios y movimiento lateral.

Apache Syncope (componente org.apache.syncope.core:syncope-core-spring) en versiones:
Desde 2.1.0 hasta 2.1.14.
Desde 3.0.0 hasta 3.0.14
Desde 4.0.0 hasta 4.0.2
Solo se ve afectado cuando la funcionalidad de cifrado AES interno para contraseñas está habilitada. Si no está habilitada, la vulnerabilidad no impacta.

Actualizar Apache Syncope a versiones que corrigen la vulnerabilidad: 3.0.15 o 4.0.3.
Si usan cifrado de contraseñas, reconfigurar para usar claves AES únicas y no codificadas en el código fuente, con un mecanismo de gestión de claves seguro.
Revisar los accesos a la base de datos: limitar los permisos de lectura/escritura solo a personal autorizado, endurecer controles de acceso.

Inventariar todas las instancias de Apache Syncope desplegadas en tu organización. Comprobar versiones y si la opción AES interno está habilitada.
Para instancias vulnerables, aplicar la actualización a 3.0.15 / 4.0.3 lo antes posible.
Después del parcheo, forzar reseteo de contraseñas de todos los usuarios: dado que la clave antigua pudo haber sido comprometida, considerar que contraseñas anteriores están expuestas.
Implementar una gestión de claves segura: uso de claves únicas por instalación, rotación periódica, uso de un gestor de claves (KMS) o similar en lugar de clave fija en código.
Auditar accesos a la base de datos, registros de login, logs de administración. Monitorizar actividad inusual (accesos, dumps, lecturas masivas) si hubo posible filtración.