CVE-2026-62263
Açıklama
Open Access Management (OpenAM) bir erişim yönetimi çözümüdür. 16.1.2 sürümünden önce, WebAuthnAuthentication.deserialize, derinliği 1'den büyük olan her serileştirilmiş nesneye izin veren bir ObjectInputFilter uygular ve bu nedenle yalnızca bir AuthenticatorImpl kök nesnesini kısıtlar. Kimlik doğrulama öncesindeki bir saldırgan, serileştirilmiş grafiği geçerli bir AuthenticatorImpl köküne ve iç içe geçmiş bir gadget sınıfına sahip olan bir userHandle sağlayabilir; bu durum, kullanılabilir bir gadget classpath üzerinde olduğunda, tür dönüşümü (cast) ve onaylama doğrulaması gerçekleşmeden önce readObject veya readResolve yürütülmesine neden olur. Bu durum, önceki WebAuthn serisizleştirme zafiyeti için yapılan eksik giderimin atlatılmasını sağlar. Bu sorun 16.1.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- org.openidentityplatform.openam:openam-auth-webauthn16.1.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| org.openidentityplatform.openam:openam-auth-webauthnMaven | v < 16.1.2 | 16.1.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.