CVE-2026-39842

Resumen

OpenRemote es una plataforma IoT de código abierto. Las versiones 1.21.0 y anteriores contienen dos vulnerabilidades de inyección de expresiones interrelacionadas en el motor de reglas que permiten la ejecución arbitraria de código en el servidor. El motor de reglas JavaScript ejecuta scripts proporcionados por el usuario a través de Nashorn's ScriptEngine.eval() sin sandboxing, filtrado de clases ni restricciones de acceso, y la comprobación de autorización en RulesResourceImpl solo restringe las reglas Groovy a superusuarios, dejando las reglas JavaScript sin restricciones para cualquier usuario con el rol write:rules. Además, el motor de reglas Groovy tiene un filtro de seguridad GroovyDenyAllFilter que está definido pero nunca registrado, ya que el código de registro está comentado, lo que hace que SandboxTransformer sea ineficaz para las reglas Groovy creadas por superusuarios. Un atacante que no sea superusuario con el rol write:rules puede crear conjuntos de reglas JavaScript que se ejecutan con acceso completo a la JVM, lo que permite la ejecución remota de código como root, la lectura arbitraria de archivos, el robo de variables de entorno, incluidas las credenciales de la base de datos, y la omisión completa del aislamiento multiinquilino para acceder a datos en todos los ámbitos. Este problema se ha corregido en la versión 1.22.0.

• CVE-2026-39842Exploit

  Vulnerabilidad crítica de ejecución remota de código en el Rules Engine de OpenRemote que permite a usuarios autenticados con el rol `write:rules` ejecutar código arbitrario en el servidor con privilegios de root.