CVE-2026-33439 Python PoC

jato.clientSession のデシリアライズにおける OpenAM の認証前リモートコード実行脆弱性に対する、スタンドアロンの Python 概念実証コードです。

埋め込まれたシェーディングされた Click/Xalan ガジェットは、cmd HTTP ヘッダーからシェルコマンドを読み取り、その出力を HTTP レスポンスで返します。外部の Python パッケージ、Java ランタイム、JAR ファイルは必要ありません。

使用方法

python3 exploit.py \
  --url https://target.example/openam/ui/PWResetUserValidation \
  'id'

オプション引数:

--timeout SECONDS     リクエストタイムアウト (デフォルト: 15)
--proxy URL           HTTP プロキシ、例: http://127.0.0.1:8080
--verify-tls          TLS 証明書検証を有効化

参考情報

• OpenAM セキュリティアドバイザリ GHSA-2cqq-rpvq-g5qj
• CVE-2026-33439

所有しているシステム、またはテストを明示的に許可されたシステムに対してのみ使用してください。