Exploit de désérialisation critique découvert dans OpenAM Openidentityplatform

Une nouvelle vulnérabilité logicielle, identifiée comme CVE-2026-33439, a été publiée par plusieurs plateformes de sécurité. Cette faille concerne le système OpenAM (Open Identity Management) et permet, selon les analyses disponibles, l'exécution de code à distance sur des systèmes compromis.

Détails techniques de la preuve de concept

La preuve de concept (PoC) est disponible sous forme d'exploit autonome, nécessitant uniquement Python et aucune dépendance externe. L'attaque cible la classe `jato.clientSession` lors de sa désérialisation, exploitant un gadget « shaded » basé sur Click/Xalan intégré au code. Le mécanisme permet de lire une commande shell contenue dans l'en-tête HTTP `cmd` et de retourner son résultat dans la réponse HTTP. Les arguments optionnels incluent un délai d'attente (`--timeout`), un proxy (`--proxy`) et une vérification TLS (`--verify-tls`).

L'analyse détaillée published sur Vulners.com décrit comment l'exploitation se déroule : un utilisateur malveillant peut injecter une charge utile dans les paramètres de requête vers l'endpoint `/ui/PWResetUserValidation`, ce qui déclenche la désérialisation dangereuse. La vulnérabilité ne requiert ni package Python supplémentaire, ni runtime Java, ni fichiers JAR externes, ce qui facilite sa propagation dans des environnements où ces composants ne sont pas installés.

Gravité et impact

La gravité de cette faille est élevée, avec une note CVSS de 9.8 indiquant un risque critique. Une telle score correspond à une vulnérabilité pouvant permettre un contrôle total du serveur cible sans intervention humaine préalable. Dans le contexte des systèmes d'identité et d'accès (IAM), cela signifie que des attaquants pourraient obtenir un accès privilégié ou exécuter des commands arbitraires sur les machines gérées par OpenAM.

Contexte et recommandations

Cette vulnérabilité fait référence à l'advisory de sécurité OpenAM GHSA-2cqq-rpvq-g5qj, qui a été publié en anticipation de cette découverte. Les organisations utilisant OpenAM sont invitées à appliquer les correctifs recommandés et à auditer leurs configurations pour détecter toute utilisation de méthodes de désérialisation non sécurisées. La communauté open-source a rapidement partagé des mitigations, notamment en restreignant les options de désérialisation et en validant rigoureusement les entrées HTTP.

Les deux sources principales — Sploitus.com et Vulners.com — confirment la présence de la même vulnérabilité (CVE-2026-33439) et fournissent des détails complémentaires sur l'implémentation technique de l'exploit. Bien que les présentations varient légèrement en termes de mise en œuvre exacte, elles convergent sur le fait qu'une charge utile en Click/Xalan peut être injectée via l'en-tête `cmd` pour déclencher la désérialisation dangereuse.

Vérification croisée

L'information a été croisée entre plusieurs sources de sécurité indépendantes, confirmant la cohérence des faits rapportés. Aucune contradiction majeure n'a été identifiée entre les descriptions fournies par Sploitus.com et Vulners.com. Les deux plateformes citent la même advisory officielle (GHSA-2cqq-rpvq-g5qj) et décrivent un scénario d'exploitation similaire centré sur la classe `jato.clientSession`.

En résumé, cette vulnérabilité représente une menace sérieuse pour les déploiements OpenAM, particulièrement ceux qui traitent de données sensibles ou gèrent des processus critiques. La rapidité de diffusion de la preuve de concept souligne l'importance urgente de la correction des points faibles de désérialisation dans les systèmes d'identité modernes.