В Apereo CAS обнаружили уязвимость, которая позволяет выполнять произвольный код на сервере. Ошибка связана с тем, как сервер принимает и обрабатывает пользовательский интерфейс. Уязвимы сборки ветки 7.3.x младше 7.3.8.3. Исправление появилось 8 сентября 2026 года, вместе с первым публичным описанием проблемы.
Детали уязвимости
CAS - открытая платформа единого входа (SSO). Пользователь один раз вводит логин и пароль, а затем получает доступ к десяткам внутренних сервисов без повторной аутентификации. Такие системы разворачивают в университетах, научных центрах и компаниях. Через сервер единого входа проходят учётные данные сотрудников и студентов. На практике такие узлы связаны с каталогами пользователей и системами управления доступом. Поэтому ошибка в них сказывается на всей связке подключённых приложений, а не на одном сервисе.
Из описания проекта следует, что дефект не привязан к отдельной функции или расширению. Он проявляется на уровне обработки интерфейса. При этом не имеет значения, меняла ли организация оформление или ставила собственную тему. Достаточно просто запустить CAS. Следовательно, уязвимость затрагивает и типовые установки без доработок. Отключение отдельных модулей проблему не снимает.
Технические подробности Apereo пока не раскрывает. Проект обещает опубликовать их позже, после срока, отведённого администраторам на обновление. Такая пауза нужна, чтобы защитные меры опередили появление публичных эксплойтов, то есть вредоносного кода, использующего уязвимость.
Удалённое выполнение кода относится к тяжёлым последствиям для систем аутентификации. Атакующему не нужно, чтобы жертва открыла вложение или перешла по ссылке. Достаточно отправить серверу особым образом подготовленный запрос. Однако точный сценарий проект не описывает, хотя сам класс уязвимости предполагает запуск произвольных команд на узле. Для организации это означает риск утечки данных и потери контроля над сервером аутентификации. О попытках использования уязвимости в реальных атаках проект не сообщает.
Хронология короткая. 4 сентября 2026 года о проблеме сообщили сторонние исследователи, пожелавшие остаться анонимными. Уже 8 сентября появились исправленные сборки. Срок между сообщением и исправлением составил четыре дня. По словам проекта, отчёты почти целиком подготовил искусственный интеллект, а специалисты CAS затем проверили находку и протестировали её.
Уязвимость затрагивает только ветку 7.3.x. Другие версии, которые остаются в активном цикле поддержки, по результатам анализа проекта этой проблеме не подвержены. Сборки, находящиеся в разработке, получают исправление автоматически.
Администраторам достаточно обновиться до версии 7.3.8.3. Замена проходит без изменения требований к платформе, версии Java, записей о регистрации приложений, интерфейса, конфигурации и правил журналирования. Исключение одно. Если в организации правили Java-код и внутренние компоненты сервера и эти правки перекрывают исправления проекта, совместимость придётся проверять отдельно.
Порядок обновления простой. В корне проекта находят файл gradle.properties. Затем меняют значение свойства cas.version на 7.3.8.3 и пересобирают сервер командой ./gradlew clean build. В Windows используется gradlew.bat. Для большинства развёртываний это обычная замена без дополнительных настроек.
Отдельная тема, которую проект поднимает в том же сообщении, - рост числа отчётов об уязвимостях, подготовленных с помощью искусственного интеллекта. Такая картина наблюдается не только в CAS, но и в других открытых проектах. Команды разработчиков небольшие, а поток сообщений растёт. Нагрузка на сопровождающих увеличивается вместе с ним. В результате сроки исправлений могут удлиняться.
Из этого следует практический вывод для организаций. Автоматическая проверка сборок, интеграционное тестирование, конвейеры непрерывной интеграции и доставки (CI/CD) и быстрое развёртывание в промышленной среде перестают быть необязательными. Если обновление проходит через ручные шаги, долгие согласования и синхронную координацию, исправления накапливаются. К тому же безопасность таких установок зависит от одного человека, который помнит порядок действий.
Уязвимость затрагивает и тех, кто ставил CAS для внутренних нужд, и тех, кто обслуживает внешних пользователей. Университеты применяют такие серверы для доступа к учебным и административным системам. Компании подключают к ним корпоративные приложения. Чем больше сервисов подключено к одному серверу единого входа, тем шире последствия успешной атаки.
Проект развивается под эгидой фонда Apereo. Организации с действующей подпиской на поддержку CAS могут получить дополнительные сведения через рабочую группу фонда. Для остальных доступен публичный бюллетень проекта.
Для организаций, которые держат CAS как центральную точку аутентификации, обновление до 7.3.8.3 остаётся первоочередной задачей. Дальше имеет смысл пересмотреть скорость установки исправлений. Уязвимость в сервере единого входа затрагивает не один сервис, а всю цепочку доступа к внутренним системам. Ручные процедуры обходятся дороже, чем автоматизация.
Ссылки
