CVE-2026-39842

Resumo

OpenRemote é uma plataforma IoT de código aberto. As versões 1.21.0 e anteriores contêm duas vulnerabilidades de injeção de expressão inter-relacionadas no motor de regras que permitem execução arbitrária de código no servidor. O motor de regras JavaScript executa scripts fornecidos pelo usuário via Nashorn's ScriptEngine.eval() sem sandboxing, filtragem de classes ou restrições de acesso, e a verificação de autorização em RulesResourceImpl apenas restringe regras Groovy a superusuários, deixando regras JavaScript sem restrições para qualquer usuário com a função write:rules. Além disso, o motor de regras Groovy possui um filtro de segurança GroovyDenyAllFilter que é definido, mas nunca registrado, pois o código de registro está comentado, tornando o SandboxTransformer ineficaz para regras Groovy criadas por superusuários. Um atacante que não seja superusuário, com a função write:rules, pode criar conjuntos de regras JavaScript que executam com acesso total à JVM, permitindo execução remota de código como root, leitura arbitrária de arquivos, roubo de variáveis de ambiente, incluindo credenciais de banco de dados, e bypass completo do isolamento multi-tenant para acessar dados em todos os realms. Este problema foi corrigido na versão 1.22.0.

• CVE-2026-39842Exploit

  Vulnerabilidade crítica de execução remota de código no Rules Engine do OpenRemote permite que usuários autenticados com a função `write:rules` executem código arbitrário no servidor com privilégios de root.