Une vulnérabilité critique a été identifiée dans Apereo CAS, un système de gestion d’identité largement utilisé. Cette faille permet à un attaquant de provoquer une exécution de code arbitraire à distance, compromettant ainsi la sécurité des systèmes affectés. (apereo.github.io)
La vulnérabilité concerne spécifiquement les versions 7.3.x d’Apereo CAS. Elle est liée à la manière dont le serveur CAS accepte et traite l’interface utilisateur, sans dépendre d’une fonctionnalité ou d’une extension particulière. Ainsi, même si l’interface utilisateur a été personnalisée ou utilise un thème spécifique, le système reste vulnérable. (apereo.github.io)
Le problème a été signalé au projet CAS le 4 septembre 2026 et corrigé le 8 septembre 2026. Les chercheurs tiers, qui ont souhaité rester anonymes, ont initialement identifié la faille, qui a ensuite été validée et testée par l’équipe de sécurité de CAS. (apereo.github.io)
Pour remédier à cette vulnérabilité, il est recommandé de mettre à jour Apereo CAS vers la version 7.3.8.3. Cette mise à jour est conçue comme un remplacement direct, sans nécessiter de modifications supplémentaires de la configuration ou de l’interface utilisateur. Toutefois, les administrateurs doivent être vigilants si des modifications personnalisées ont été apportées au code Java ou aux composants internes du serveur CAS, car elles pourraient interférer avec les correctifs appliqués. (apereo.github.io)
Il est essentiel que les organisations utilisant Apereo CAS appliquent cette mise à jour sans délai afin de garantir la sécurité de leurs systèmes et de leurs utilisateurs.
