CVE-2026-39842

Zusammenfassung

OpenRemote ist eine Open-Source-IoT-Plattform. Die Versionen 1.21.0 und älter enthalten zwei zusammenhängende Expression-Injection-Schwachstellen in der Regel-Engine, die die Ausführung beliebigen Codes auf dem Server ermöglichen. Die JavaScript-Regel-Engine führt benutzergestellte Skripte über Nashorns ScriptEngine.eval() ohne Sandboxing, Klassenfilterung oder Zugriffsbeschränkungen aus, und die Autorisierungsprüfung in RulesResourceImpl beschränkt Groovy-Regeln nur auf Superuser, während JavaScript-Regeln für jeden Benutzer mit der Rolle write:rules uneingeschränkt bleiben. Darüber hinaus verfügt die Groovy-Regel-Engine über einen GroovyDenyAllFilter-Sicherheitsfilter, der zwar definiert, aber nie registriert wird, da der Registrierungscode auskommentiert ist, wodurch der SandboxTransformer für von Superusern erstellte Groovy-Regeln wirkungslos wird. Ein Angreifer ohne Superuser-Rechte mit der Rolle write:rules kann JavaScript-Regelsätze erstellen, die mit vollem JVM-Zugriff ausgeführt werden, was Remote-Code-Ausführung als Root, beliebiges Lesen von Dateien, Diebstahl von Umgebungsvariablen einschließlich Datenbankanmeldeinformationen und die vollständige Umgehung der Multi-Tenant-Isolation zum Zugriff auf Daten über alle Realms hinweg ermöglicht. Dieses Problem wurde in Version 1.22.0 behoben.

• CVE-2026-39842Exploit

  Kritische Remote-Codeausführung-Schwachstelle in der Rules Engine von OpenRemote ermöglicht es authentifizierten Benutzern mit der Rolle `write:rules`, beliebigen Code auf dem Server mit Root-Rechten auszuführen.