OpenAM: RCE pre-auth critica, CVE-2026-33439

OpenAM, soluzione di gestione degli accessi di OpenIdentityPlatform, è interessata dalla vulnerabilità CVE-2026-33439: una deserializzazione Java non sicura nel parametro HTTP jato.clientSession consente RCE senza alcuna autenticazione. Il problema colpisce le versioni precedenti alla 16.0.6 e riguarda gli endpoint JATO ViewBean le cui pagine JSP contengono tag <jato:form>, incluse tipicamente le pagine di reset password.

La gravità è classificata come critica, con CVSS 9,8. Particolarmente rilevante è il fatto che la falla bypassa una mitigazione specifica (WhitelistObjectInputStream) introdotta dopo CVE-2021-35464, dimostrando che la protezione applicata al parametro jato.pageSession non copriva jato.clientSession. È stato individuato un repository pubblico, datato 29 ottobre 2026, che dichiara di contenere un exploit funzionante; si tratta di un segnale sulla diffusione di informazioni tecniche, non di una conferma indipendente di sfruttamento attivo.

Per i difensori la priorità è l'aggiornamento immediato a OpenAM 16.0.6 o successiva, trattandosi di un attacco eseguibile senza credenziali. È opportuno verificare quali endpoint JATO ViewBean sono esposti pubblicamente, con attenzione alle pagine di reset password, e predisporre controlli sui parametri jato.clientSession e jato.pageSession nelle richieste HTTP in ingresso, mantenendo i log disponibili per analisi retrospettive.