근본 원인

JATO는 UI 뷰 상태를 jato.pageSession 및 jato.clientSession이라는 HTTP 파라미터로 직렬화합니다. 요청이 도착하면 OpenAM은 응답을 렌더링하기 전에 UI 상태를 복원하기 위해 이러한 파라미터를 역직렬화합니다. 두 파라미터는 완전히 다른 코드 경로를 따릅니다.

jato.pageSession에 대한 패치된 코드 경로(CVE-2021-35464 이후):```java // PATCHED - ConsoleViewBeanBase.deserializePageAttributes() ObjectInputStream ois = new WhitelistObjectInputStream(new ByteArrayInputStream(decoded)); // class whitelist enforced - gadget chains blocked Object obj = ois.readObject();

jato.clientSession에 대한 패치되지 않은 코드 경로(취약):```java
// ClientSession.java
protected ClientSession(RequestContext context) {
	this.encodedSessionString =
		context.getRequest().getParameter("jato.clientSession");
}

protected void deserializeAttributes() {
	if (this.encodedSessionString != null
		&& this.encodedSessionString.trim().length() > 0) {
		this.setAttributes(
			(Map) Encoder.deserialize(
				// VULNERABLE - URL-safe base64 decode then plain ObjectInputStream
				Encoder.decodeHttp64(this.encodedSessionString), false)
		);
	}
}

Encoder.deserialize() 는 클래스 필터링이 없는 ObjectInputStream 의 하위 클래스인 일반적인 ApplicationObjectInputStream 을 생성합니다. JVM 클래스패스의 모든 클래스가 인스턴스화될 수 있습니다. JSP 렌더링 중 < jato:form > 태그가 렌더링될 때마다 역직렬화가 트리거됩니다:``` getClientSession() → hasAttributes() → getEncodedString() → isValid() → ensureAttributes() → deserializeAttributes()

---

<div id="vulnerability_affected"/>

### ***영향받는 버전***

| 제품                          | 취약 버전                                        | 수정 버전 |
|-----------------------------|-------------------------------------------------|--------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6 |
| ForgeRock AM (다운스트림)     | 패치 계보에 따라 잠재적으로 영향받음              | -      |

---

<div id="vulnerability_attacksurface"/>

### ***공격 표면***

JSP에 *< jato:form >* 태그를 포함하는 모든 JATO ViewBean 엔드포인트는 인증 전에 악용 가능합니다:

| Endpoint                  | 용도                                   |
|---------------------------|--------------------------------------|
| /ui/PWResetUserValidation | 비밀번호 재설정 - 사용자 ID 입력       |
| /ui/PWResetQuestion       | 비밀번호 재설정 - 보안 질문            |

비밀번호 재설정 엔드포인트가 기본 대상이며, 설계상 공개적으로 접근 가능하고 *< jato:form >* 태그를 반드시 렌더링합니다.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ 가젯 체인***

<div id="gadgetchain_deserialization101"/>

### ***Java 역직렬화 101***

Java가 바이트 스트림에서 객체를 역직렬화할 때, 중첩 객체를 포함하여 재구성하는 모든 클래스에서 readObject()를 호출합니다. 공격자가 바이트 스트림을 제어하고 readObject()가 코드 실행으로 이어지는 일련의 메서드 호출을 트리거하는 객체를 주입하면 가젯 체인 RCE를 얻을 수 있습니다.

CVE-2026-33439의 핵심: 가젯 체인은 외부 라이브러리가 필요 없습니다. 체인의 모든 클래스는 OpenAM WAR 자체에 포함되어 있습니다: `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodeps-2.3.0.jar`. <u>이로 인해 이 취약점은 기본 OpenAM 배포 어디서나 악용 가능합니다.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

이것이 익스플로잇이 작동하도록 만드는 중요한 세부 사항입니다. `jato-shaded-16.0.5.jar`의 `Encoder` 클래스는 Java의 URL-safe base64 인코더/디코더를 사용합니다. 표준 base64도, 사용자 지정 문자 치환 방식도 아닙니다.

Encoder.class를 디컴파일하여 확인됨:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

🖥️ 주요 기능