CVE-2026-62379
Publiée le 2026-09-15 · Dernière modification le 2026-09-25
Les versions d'Open Access Management (OpenAM) antérieures à la 16.1.2 sont affectées par une faille dans le point de terminaison `/authservice` qui permet à un attaquant de charger des classes Java arbitraires. Un attaquant distant peut exploiter cette vulnérabilité pour exécuter du code malveillant sur le serveur avec des privilèges système complets. Cette attaque ne nécessite ni authentification ni interaction de l'utilisateur, et peut être effectuée via le réseau.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Open Access Management (OpenAM) is an access management solution. Prior to 16.1.2, the pre-authentication /authservice PLL endpoint accepts a CustomCallback XML element whose className value selects an arbitrary Java class for AuthXMLUtils to load and instantiate without verifying that it implements DSAMECallbackInterface. Default configurations expose the endpoint without authentication, allowing attacker-controlled class initialization and unsafe deserialization of a serialized Subject value to execute code in the server process. Enabling sunRemoteAuthSecurityEnabled does not prevent the vulnerable parsing and instantiation because its check occurs later. This issue is fixed in version 16.1.2.