CVE-2026-123549
KrytyczneCVSS 9.8Streszczenie
OpenAM przed wersją 16.1.4 nie egzekwuje listy Valid Creation Attributes podczas samodzielnej rejestracji, co pozwala anonimowym atakującym ustawić zastrzeżone atrybuty, w tym członkostwo w grupach. Atakujący mogą zarejestrować się przez starszy punkt końcowy REST samoobsługi lub przepływ User Self-Service, aby dołączyć do grup administracyjnych i uzyskać pełną kontrolę administracyjną nad OpenAM.
Ocena ryzyka
Możliwość dołączenia do grup administracyjnych przez anonimowego atakującego prowadzi do pełnego przejęcia kontroli nad systemem OpenAM.
Rekomendacja
Zaktualizuj OpenAM do wersji 16.1.4 lub nowszej. Wyłącz lub ogranicz samoobsługową rejestrację oraz przejrzyj członkostwo w grupach administracyjnych.
Inne podatności w OpenAM
Zobacz wszystkie- CVE-2026-123553Średnie
OpenAM przed wersją 16.1.4 zawiera wbudowane tożsamości w Top Level Realm (demo, anonymous, wsc, wsp, SecurityTokenService i agentAuth) z hasłami identycznymi w każdej instalacji, publicznie znanymi i umożliwiającymi uwierzytelnienie. Nieuwierzytelnieni zdalni atakujący mogą zalogować się jako te tożsamości, uzyskując sesje uwierzytelnione, a tożsamości agentów mogą odczytać konfigurację innych profili agentów.
- CVE-2026-123552Średnie
OpenAM przed wersją 16.1.4 zawiera podatność typu server-side request forgery w sprawdzaniu CRL certyfikatów, które pobiera CRL z punktu dystrybucji wskazanego w przedstawionym certyfikacie bez ograniczania miejsca docelowego i weryfikacji podpisu pobranego CRL. Atakujący posiadający certyfikat z zaufanego łańcucha CA może zmusić OpenAM do żądań do wewnętrznych hostów, przechwycić skonfigurowane dane uwierzytelniające aktualizacji CRL, nadpisać przechowywane dane unieważnienia, aby zablokować uwierzytelnianie certyfikatów dla tego CA, oraz zajmować wątki uwierzytelniania.
- CVE-2026-123548Średnie
OpenIdentityPlatform OpenAM przed wersją 16.1.4 zawiera podatność typu open redirect, ponieważ wylogowanie WS-Federation, wylogowanie SAML v2.0 i zarządzanie identyfikatorami nazw, wyszukiwarka dostawców tożsamości SAML v2.0 oraz niektóre strony uwierzytelniania nie sprawdzają adresów URL miejsca docelowego względem list dozwolonych. Atakujący mogą tworzyć linki w domenie OpenAM, które kierują użytkowników do dowolnych zewnętrznych witryn w celu phishingu.
- CVE-2026-123547Średnie
OpenAM przed wersją 16.1.4 zawiera podatność typu open redirect, która pozwala atakującym przekierowywać użytkowników do zewnętrznych witryn, ponieważ parametr RelayState nie jest sprawdzany, gdy nie skonfigurowano relayStateUrlList. Atakujący mogą tworzyć linki do logowania jednokrotnego ze złośliwym parametrem RelayState, aby kierować użytkowników z zaufanego źródła OpenAM do witryn phishingowych i omijać filtry URL.
- CVE-2026-123546Średnie
OpenAM przed wersją 16.1.4 zawiera podatność typu open redirect i cross-site scripting, która pozwala zdalnym atakującym kontrolować miejsca docelowe po logowaniu i wylogowaniu za pomocą parametrów goto i gotoOnFail. Atakujący mogą tworzyć linki logowania lub wylogowania OpenAM, które przekierowują ofiary do witryn phishingowych lub uruchamiają skrypt w XUI w celu kradzieży ciasteczek sesji.
- CVE-2026-123545Wysokie
OpenAM od wersji 14.5.1 przed 16.1.4 zawiera podatność typu cross-site request forgery w przepływie autoryzacji urządzenia OAuth 2.0, która pozwala atakującym zatwierdzać kody urządzeń, gdy zgoda jest pomijana dla klientów z domniemaną zgodą. Atakujący może rozpocząć autoryzację urządzenia i zwabić zalogowanego użytkownika na spreparowaną stronę, uzyskując tokeny dostępu i identyfikacji do wywoływania API w imieniu tego użytkownika.
- CVE-2026-123544Średnie
OpenAM przed wersją 16.1.4 i jego zestaw SDK klienta nie weryfikują wystarczająco odpowiedzi na wewnętrznym kanale SOAP serwer-serwer, co pozwala atakującym z pozycji sieciowej wpływać na integralność i dostępność. Atakujący, którzy przechwycą niezaszyfrowany ruch lub kontrolują serwer witryny, mogą spowodować awarię procesów odbierających, manipulować plikami z prawem zapisu i prawdopodobnie wykonać kod.
- CVE-2026-123543Wysokie
OpenAM w wersjach przed 16.1.4 zawiera podatność typu denial of service, która pozwala nieuwierzytelnionym atakującym wyczerpać zasoby serwera poprzez wysyłanie serializowanych danych Java bez ograniczeń rozmiaru i struktury. Atakujący może wysyłać małe spreparowane żądania do zdalnych punktów końcowych SDK, klasycznych stron logowania lub konsoli administracyjnej, aby zablokować uwierzytelnianie, walidację sesji i decyzje polityk.
- CVE-2026-123542Średnie
OpenAM przed wersją 16.1.4 nie wymusza PKCE w przepływie autoryzacji urządzenia OAuth 2.0, nigdy nie weryfikując code verifier podczas wymiany kodów urządzenia na tokeny. Atakujący, którzy uzyskają zatwierdzony kod urządzenia z logów klienta lub współdzielonego magazynu urządzenia, mogą wymienić go na tokeny dostępu i identyfikacji, aby podszyć się pod użytkownika.
- CVE-2026-123541Średnie
OpenAM przed wersją 16.1.4 zawiera podatność typu open redirect, która pozwala zdalnym atakującym przekierowywać użytkowników po logowaniu jednokrotnym SAML 1.x poprzez wykorzystanie luźnego dopasowania miejsca docelowego zaufanego partnera. Atakujący mogą tworzyć linki do /SAMLAwareServlet lub /SAMLPOSTProfileServlet z hostem docelowym przypominającym zaufanego partnera, aby kierować uwierzytelnionych użytkowników do witryn phishingowych kontrolowanych przez atakującego.
Oryginalny opis (angielski, źródło NVD)
OpenAM before 16.1.4 fails to enforce the Valid Creation Attributes list during self-registration, allowing anonymous attackers to set restricted attributes including group membership. Attackers can register through the legacy self-service REST endpoint or User Self-Service flow to join administrative groups and gain full administrative control of OpenAM.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS