OpenAM: Nicht authentifizierte Instanziierung beliebiger Klassen über JAX-RPC-Schnittstelle

Zusammenfassung

OpenAM-Versionen vor 16.1.3 stellen unter /jaxrpc/* eine veraltete JAX-RPC-SOAP-Schnittstelle bereit, die eine Session-Kennung ohne Prüfung akzeptiert. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann den Server dazu bringen, über eine SOAP-Anfrage beliebige Klassen aus dem Classpath zu laden und zu instanziieren. Dies kann zu einem Absturz des Servers und zur Aufklärung vorhandener Klassen führen; theoretisch ist auch Remote Code Execution über Gadget-Ketten möglich, eine Ausnutzung wurde jedoch nicht nachgewiesen. Das Risiko ist am höchsten, wenn die Schnittstelle aus dem Internet erreichbar ist.

Betroffen

• OpenAM alle Versionen bis einschliesslich 16.1.2 (Bereich vor 16.1.3)

Behoben in

• Auf OpenAM 16.1.3 oder neuer aktualisieren

Umgehung

• Zugriff auf /jaxrpc/* an der Firewall oder am Reverse Proxy auf Hosts beschränken, die die veraltete Remote-SDK-Schnittstelle oder Agenten benötigen
• /jaxrpc/* vollständig blockieren, wenn keine Komponente das veraltete Remote-SDK verwendet
• SOAP-Anfragen an /jaxrpc/* von unerwarteten Quellen überwachen
• Der Hersteller veröffentlicht keine weiteren Workarounds über diese Empfehlungen hinaus; laut Herstellerhinweis darf die Schnittstelle nie aus dem öffentlichen Internet erreichbar sein

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn in öffentlichen Quellen gefunden; laut Aggregator-Seiten nicht im CISA-KEV-Katalog enthalten (der KEV-Katalog selbst sollte direkt geprüft werden)
• Kein öffentlicher Proof of Concept gefunden; Abwesenheit nicht bestätigt
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
• EPSS-Wert laut Drittanbieter 0.00461 (niedrig)

Unsere Empfehlung

• Alle OpenAM-Instanzen und deren Versionen erfassen
• Auf OpenAM 16.1.3 oder neuer aktualisieren; der Fix wurde im September 2026 veröffentlicht, daher prüfen, ob Systeme bereits aktualisiert wurden
• Falls ein Update verzögert wird, /jaxrpc/* aus dem Internet und aus nicht vertrauenswürdigen Netzen sperren oder einschränken
• Web- und Applikationslogs auf ungewöhnliche SOAP-Anfragen an /jaxrpc/* prüfen
• Version 16.1.2 war zusätzlich von einer separaten nicht authentifizierten RCE betroffen (CVE-2026-62379); eine aktuelle Version ist wichtiger als die alleinige Behebung dieser CVE
• Produkt und Version vor der Risikobewertung bestätigen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-wxmx-q96f-w4gw github.com
• VulnCheck advisory www.vulncheck.com
• OpenAM 16.1.3 release github.com
• OpenAM 16.1.2 release github.com
• OpenIdentityPlatform blog: OpenAM 16.1.3 released www.openidentityplatform.org
• Ionix threat center CVE-2026-105115 www.ionix.io
• Vuldb CVE-2026-105115 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:37.