CVE-2026-63224

OpenRemote przed wersją 1.26.2 zawiera podatność na ominięcie uwierzytelniania w API rejestracji konsoli, co pozwala nieuwierzytelnionym atakującym na aktualizację istniejących zasobów konsoli poprzez podanie znanego identyfikatora zasobu.

OpenRemote core (openremote-manager) przed 1.31.0 nie wykonuje autoryzacji realm ani potomnych bramy dla przychodzących zdarzeń bramy brzegowej i mapuje identyfikatory zasobów zdarzeń wyłącznie przez odwracalną transformację GatewayConnector.mapAssetId. Atakujący kontrolujący zarejestrowaną bramę może spreparować identyfikatory pre-image w komunikatach AttributeEvent lub DELETE AssetEvent, aby nadpisać atrybuty lub usunąć zasoby w dowolnym realm, naruszając izolację dzierżawców.

OpenRemote przed 1.31.0 zawiera podatność na obejście autoryzacji, która pozwala administratorom realm podszywać się pod bramy w innych realmach, ponieważ GatewayService sprawdza tylko identyfikator bramy, a nie realm. Atakujący z uprawnieniem WRITE:ADMIN w jednym realm może utworzyć użytkownika usługi o nazwie odpowiadającej identyfikatorowi bramy innego realm, aby nadpisać jej zasoby potomne i otworzyć tunele SSH do jej sieci lokalnej.

OpenRemote w wersjach od 1.2.0 do 1.31.0 zawiera lukę braku autoryzacji w GatewayServiceResource, która pozwala każdemu uwierzytelnionemu użytkownikowi na uruchamianie, zatrzymywanie i odpytywanie tuneli bramy bez roli administracyjnej. Atakujący może wysyłać żądania POST lub DELETE do punktu końcowego tunelu bramy, aby otworzyć trwałe dwukierunkowe obwody TCP do sieci bramy brzegowej lub zniszczyć tunele operatora.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metody get, getUserClientRoles i getUserRealmRoles autoryzują wywołujących z rolą read:admin bez potwierdzenia, że docelowe UUID należy do żądanego i uwierzytelnionego realm. Administrator realm może pobrać dane użytkownika z innej dzierżawy lub realm master, łamiąc izolację dzierżaw.

OpenRemote to otwartoźródłowa platforma internetu rzeczy. Przed wersją 1.24.2, metoda KNXProtocol.startAssetImport przetwarza plik 0.xml z przesłanego projektu ETS ZIP z parserami XML, które pozwalają na rozwiązywanie encji zewnętrznych, co umożliwia odczyt plików dostępnych dla procesu JVM lub wykonywanie żądań po stronie serwera.

OpenRemote w wersjach przed 1.24.1 pozwala użytkownikom z uprawnieniami tylko read:assets na zapis przewidywanych punktów danych poprzez endpoint zapisu przewidywanych punktów danych. Wersja 1.24.1 naprawia ten problem.

OpenRemote przed wersją 1.28.0 zawiera podatność na ujawnienie informacji między domenami w API REST powiadomień. Administratorzy dzierżawy mogą odczytać wysłane powiadomienia wszystkich dzierżaw, w tym treści wiadomości, wysyłając żądanie GET bez parametrów do punktu końcowego powiadomień.

Punkty końcowe usuwania powiadomień w OpenRemote nie egzekwują granic domen (realm), co pozwala każdemu administratorowi domeny na usuwanie powiadomień należących do innych domen. Atakujący z rolą write:admin w jednej domenie mogą wysyłać żądania DELETE, aby usuwać powiadomienia z domeny głównej lub innych dzierżawców bez kontroli autoryzacji.

OpenRemote (org.openremote:openremote) w wersjach do 1.26.2 zawiera podatność na bezpośrednie odwołanie do niebezpiecznego obiektu (IDOR) w punkcie końcowym setAssetLinks w AlarmResourceImpl. Sprawdzanie dostępu do domeny (realm) waliduje tylko pojedynczą domenę uzyskaną przez realms.stream().findFirst() na HashSet domen z żądania, zamiast wszystkich domen. Ze względu na niedeterministyczną kolejność iteracji HashSet, uwierzytelniony atakujący może z około 50% prawdopodobieństwem na żądanie (z możliwością ponowienia) utrwalić linki między domenami i ujawnić nazwy zasobów ofiary.