CVE-2026-39842

सारांश

OpenRemote एक ओपन-सोर्स IoT प्लेटफ़ॉर्म है। संस्करण 1.21.0 और उससे नीचे के संस्करणों में रूल्स इंजन में दो परस्पर संबंधित एक्सप्रेशन इंजेक्शन कमज़ोरियाँ हैं जो सर्वर पर मनमाना कोड निष्पादन की अनुमति देती हैं। JavaScript रूल्स इंजन Nashorn के ScriptEngine.eval() के माध्यम से उपयोगकर्ता-आपूर्ति की गई स्क्रिप्ट को बिना सैंडबॉक्सिंग, क्लास फ़िल्टरिंग, या एक्सेस प्रतिबंधों के निष्पादित करता है, और RulesResourceImpl में प्राधिकरण जाँच केवल Groovy रूल्स को सुपरयूज़र तक सीमित करती है जबकि JavaScript रूल्स को write:rules भूमिका वाले किसी भी उपयोगकर्ता के लिए अप्रतिबंधित छोड़ देती है। इसके अतिरिक्त, Groovy रूल्स इंजन में एक GroovyDenyAllFilter सुरक्षा फ़िल्टर है जो परिभाषित तो है लेकिन कभी पंजीकृत नहीं होता, क्योंकि पंजीकरण कोड को टिप्पणी कर दिया गया है, जिससे सुपरयूज़र-निर्मित Groovy रूल्स के लिए SandboxTransformer अप्रभावी हो जाता है। write:rules भूमिका वाला एक गैर-सुपरयूज़र हमलावर JavaScript रूल्सेट बना सकता है जो पूर्ण JVM एक्सेस के साथ निष्पादित होते हैं, जिससे रूट के रूप में रिमोट कोड निष्पादन, मनमाना फ़ाइल पढ़ना, डेटाबेस क्रेडेंशियल्स सहित पर्यावरण चर की चोरी, और सभी रियल्म्स में डेटा तक पहुँचने के लिए पूर्ण मल्टी-टेनेंट आइसोलेशन बायपास संभव हो जाता है। यह समस्या संस्करण 1.22.0 में ठीक कर दी गई है।

• CVE-2026-39842एक्सप्लॉइट

  OpenRemote के Rules Engine में गंभीर रिमोट कोड निष्पादन भेद्यता प्रमाणित उपयोगकर्ताओं को `write:rules` भूमिका के साथ सर्वर पर रूट विशेषाधिकारों के साथ मनमाना कोड निष्पादित करने की अनुमति देती है।