CVE-2026-33439
Açıklama
Open Access Management (OpenAM) bir erişim yönetimi çözümüdür. 16.0.6 sürümünden önce, OpenIdentityPlatform OpenAM, jato.clientSession HTTP parametresinin güvensiz Java deserialization işlemi aracılığıyla kimlik doğrulama öncesi uzaktan kod çalıştırma (RCE) zafiyetine sahiptir. Bu durum, CVE-2021-35464 sonrası jato.pageSession parametresine uygulanan WhitelistObjectInputStream önlemini atlatmaktadır. Kimlik doğrulaması yapmamış bir saldırgan, JSP'si <jato:form> etiketleri içeren herhangi bir JATO ViewBean uç noktasına (örneğin Şifre Sıfırlama sayfaları), jato.clientSession GET/POST parametresi olarak özel olarak hazırlanmış serileştirilmiş bir Java nesnesi göndererek sunucu üzerinde rastgele komut çalıştırabilir. Bu zafiyet 16.0.6 sürümünde giderilmiştir.
Nasıl düzeltilir
- openidentityplatform openam16.0.6 ya da sonraki bir sürüm
- org.openidentityplatform.openam:openam16.0.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openidentityplatform openam | v < 16.0.6 | 16.0.6 |
| org.openidentityplatform.openam:openamMaven | v < 16.0.6 | 16.0.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.