CVE-2026-39842

Résumé

OpenRemote est une plateforme IoT open source. Les versions 1.21.0 et antérieures contiennent deux vulnérabilités d'injection d'expression interdépendantes dans le moteur de règles qui permettent l'exécution de code arbitraire sur le serveur. Le moteur de règles JavaScript exécute des scripts fournis par l'utilisateur via ScriptEngine.eval() de Nashorn sans sandboxing, filtrage de classes ni restrictions d'accès, et la vérification d'autorisation dans RulesResourceImpl ne restreint les règles Groovy qu'aux superutilisateurs, laissant les règles JavaScript sans restriction pour tout utilisateur disposant du rôle write:rules. De plus, le moteur de règles Groovy dispose d'un filtre de sécurité GroovyDenyAllFilter qui est défini mais jamais enregistré, car le code d'enregistrement est commenté, rendant le SandboxTransformer inefficace pour les règles Groovy créées par les superutilisateurs. Un attaquant non superutilisateur disposant du rôle write:rules peut créer des ensembles de règles JavaScript qui s'exécutent avec un accès JVM complet, permettant l'exécution de code à distance en tant que root, la lecture arbitraire de fichiers, le vol de variables d'environnement, y compris les identifiants de base de données, et un contournement complet de l'isolation multi-tenant pour accéder aux données de tous les realms. Ce problème a été corrigé dans la version 1.22.0.

• CVE-2026-39842Exploit

  Vulnérabilité critique d'exécution de code à distance dans le moteur de règles d'OpenRemote permettant aux utilisateurs authentifiés disposant du rôle `write:rules` d'exécuter du code arbitraire sur le serveur avec les privilèges root.