Grundursache

JATO serialisiert den UI-Ansichtszustand in die HTTP-Parameter jato.pageSession und jato.clientSession. Wenn eine Anfrage eintrifft, deserialisiert OpenAM diese Parameter, um den UI-Zustand wiederherzustellen, bevor die Antwort gerendert wird. Die beiden Parameter folgen völlig unterschiedlichen Codepfaden.

Der gepatchte Codepfad (nach CVE-2021-35464) für jato.pageSession:```java // PATCHED - ConsoleViewBeanBase.deserializePageAttributes() ObjectInputStream ois = new WhitelistObjectInputStream(new ByteArrayInputStream(decoded)); // class whitelist enforced - gadget chains blocked Object obj = ois.readObject();

Der ungepatchte Codepfad für jato.clientSession (verwundbar):```java
// ClientSession.java
protected ClientSession(RequestContext context) {
	this.encodedSessionString =
		context.getRequest().getParameter("jato.clientSession");
}

protected void deserializeAttributes() {
	if (this.encodedSessionString != null
		&& this.encodedSessionString.trim().length() > 0) {
		this.setAttributes(
			(Map) Encoder.deserialize(
				// VULNERABLE - URL-safe base64 decode then plain ObjectInputStream
				Encoder.decodeHttp64(this.encodedSessionString), false)
		);
	}
}

Encoder.deserialize() erstellt ein einfaches ApplicationObjectInputStream – eine Unterklasse von ObjectInputStream ohne Klassenfilterung. Jede Klasse auf dem JVM-Klassenpfad kann instanziiert werden. Die Deserialisierung wird während des JSP-Renderings ausgelöst, sobald ein < jato:form >-Tag gerendert wird:``` getClientSession() → hasAttributes() → getEncodedString() → isValid() → ensureAttributes() → deserializeAttributes()

---

<div id="vulnerability_affected"/>

### ***Betroffene Versionen***

| Produkt                     | Verwundbar                                       | Behoben |
|-----------------------------|-------------------------------------------------|---------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6  |
| ForgeRock AM (Downstream)   | Möglicherweise betroffen, abhängig von der Patch-Historie | -       |

---

<div id="vulnerability_attacksurface"/>

### ***Angriffsfläche***

Jeder JATO-ViewBean-Endpunkt, dessen JSP ein *< jato:form >*-Tag enthält, ist ohne Authentifizierung ausnutzbar:

| Endpunkt                   | Zweck                                      |
|----------------------------|--------------------------------------------|
| /ui/PWResetUserValidation | Passwort-Reset – Eingabe der Benutzeridentität |
| /ui/PWResetQuestion       | Passwort-Reset – Sicherheitsfragen          |