Una explicación de una vulnerabilidad de máxima gravedad (CVSS 10.0) en OpenAM, un producto de gestión de acceso muy usado para el inicio de sesión único (SSO). Cubre qué ocurre, quién está afectado y cómo responder, desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-123551 (aviso de GitHub GHSA-5c3q-hp86-xjr8)
- Gravedad
- CVSS v3.1 10.0 (crítica); también 10.0 en CVSS v4.0 (la puntuación v4.0 procede del registro CVE)
- Tipo
- Divulgación de tokens de sesión (CWE-201). El aviso también menciona una elusión de autenticación (CWE-288), entre otras
- Condiciones previas
- Sin autenticar; basta con tener acceso de red al puerto de OpenAM. Según el aviso, la configuración por defecto está afectada
- Afectado
- OpenAM (Open Identity Platform) de la 14.0.0 a la 16.1.3
- Corrección
- OpenAM 16.1.4
- Fechas
- Aviso: 22 de octubre de 2026 / registro CVE: 8 de noviembre de 2026
- Explotación
- El aviso no indica explotación. No figura en CISA KEV (a 9 de noviembre)
El riesgo de esperar
Según el aviso, un atacante sin autenticar puede leer los tokens de sesión de los usuarios, que actúan como el propio inicio de sesión. Si se captura una sesión de administrador, el aviso dice que esto podría llevar a la toma de la configuración y a la ejecución de comandos como la cuenta de servicio de OpenAM. La recogida no deja inicios de sesión fallidos ni bloqueos. Trate como máxima prioridad cualquier OpenAM expuesto a internet.
Qué es la vulnerabilidad
OpenAM notifica a los agentes (componentes situados delante de las aplicaciones para comprobar la autenticación) la creación de sesiones, el cierre de sesión, el vencimiento y los cambios de propiedades. Según el aviso, estas notificaciones llevan el identificador de sesión completo, que actúa como credencial al portador: quien lo posee es tratado como el usuario. Las notificaciones de agentes están activadas por defecto.
Se combinan dos debilidades. La comprobación que debe limitar el WebSocket de notificaciones a los agentes puede eludirse sin credenciales a través de un endpoint heredado de Liberty ID-FF (un mecanismo de federación más antiguo). Una vez superada, un cliente conectado puede suscribirse a cualquier tema, incluidos los internos. Este sitio no describe cómo explotarlo.
Antes (14.0.0 a 16.1.3)
- Clientes distintos de los agentes pueden conectarse al WebSocket de notificaciones
- Las notificaciones contienen el identificador de sesión
- La recogida es pasiva y no deja rastro en los registros
Cambios en la 16.1.4
- Los filtros de seguridad se ejecutan también en los despachos internos de peticiones
- Los endpoints ID-FF ya no reenvían a endpoints internos
- Los clientes WebSocket solo pueden suscribirse a temas de agentes
El aviso señala además que los mismos endpoints heredados de ID-FF redirigen el navegador, tras el inicio de sesión, la federación o el cierre de sesión, a una dirección sin comprobar tomada de la petición, y que, con la reescritura de URL activada, el token de sesión del usuario se añade a esa dirección. En la 16.1.4 los destinos de redirección solo se aceptan desde una lista de permitidos por proveedor.
Quién está afectado
| Elemento | Detalle |
|---|---|
| Producto | OpenAM (Open Identity Platform) |
| Versiones afectadas | De la 14.0.0 a la 16.1.3 (redacción del registro CVE: «from 14.0.0 before 16.1.4») |
| Versión corregida | 16.1.4 |
| No afectadas | Versiones anteriores a la 14.0.0 (sin WebSocket de notificaciones) |
| Paquetes | openam-server-only, openam-federation-library, openam-notifications-websocket (grupo org.openidentityplatform.openam) |
- Según el aviso, la configuración por defecto está afectada.
- Las compilaciones derivadas y con soporte comercial dependen de la versión que publiquen sus proveedores. Pregunte a su proveedor si su compilación está afectada.
Cómo comprobar si está afectado
Compruebe su versión de OpenAM
Mire la versión que muestra la consola de administración o la del paquete desplegado (WAR, JAR, etc.). De la 14.0.0 a la 16.1.3 está afectada. Si tiene instancias de producción, preproducción y desarrollo, revise cada una (lista de comprobación del inventario de activos).
Compruebe si es accesible desde fuera
Compruebe si el puerto de OpenAM es accesible desde internet o desde cualquier otra red no confiable. El aviso dice que a un atacante le basta con llegar al puerto.
Compruebe si usa notificaciones de agentes
Mire el ajuste de notificaciones de agentes (org.forgerock.openam.notifications.agents.enabled). El aviso dice que está activado por defecto.
Qué hacer hoy
Actualice a la 16.1.4 (máxima prioridad)
Actualice OpenAM a la 16.1.4, después de leer las notas de actualización del aviso. Si redirige a los usuarios a otros hosts tras el inicio de sesión, la federación o el cierre de sesión de ID-FF, debe rellenar la nueva lista de URL de Relay State por proveedor. Si personalizó web.xml, añada los elementos dispatcher que introduce la 16.1.4.
Reduzca los puntos de entrada hasta que pueda actualizar
Las medidas provisionales del aviso están a continuación. No sustituyen a la actualización.
・En el proxy, el balanceador de carga o el cortafuegos, permita que solo los hosts de agentes conocidos lleguen a /openam/notifications y /openam/ws/*.
・Si sus agentes no dependen de las notificaciones, desactive las notificaciones de agentes (ponga org.forgerock.openam.notifications.agents.enabled en false).
・Si no usa la federación ID-FF, bloquee los endpoints heredados de Liberty ID-FF, incluidos /openam/preLogin y /openam/postLogin.
Revoque las sesiones existentes tras la actualización
El aviso pide rotar las sesiones expuestas y tratar las sesiones actuales de administradores y usuarios como potencialmente expuestas. Tras actualizar, obligue a todos, administradores incluidos, a iniciar sesión de nuevo. Como añadido de este sitio, revise también las sesiones de larga duración en dispositivos y las sesiones que mantienen las aplicaciones conectadas. La guía de corrección de vulnerabilidades explica el proceso.
Revise los registros y los cambios de configuración
El aviso menciona como elementos a vigilar las conexiones WebSocket inesperadas, las suscripciones a temas de sesión y los cambios en la configuración de scripts. Para el periodo anterior a la actualización, revise quién llegó a los endpoints de notificaciones y el historial de cambios de configuración de los administradores. La lectura pasiva no deja inicios de sesión fallidos, así que no encontrar nada no es tranquilizador.
Refuerce el entorno de scripts
El aviso aconseja mantener activo el sandbox de scripts, restringir quién puede cambiar la configuración de scripts y ejecutar el contenedor bajo un sandbox del sistema operativo. Esto limita el daño si se toma una sesión de administrador.
Estado de la explotación
- El aviso no indica que se haya observado explotación. Dice que se retienen los detalles técnicos y el código de prueba de concepto para dar tiempo a los operadores a actualizar.
- A 9 de noviembre de 2026 el fallo no figura en el catálogo KEV de CISA (versión del catálogo 2026.11.06).
- El registro de NVD se creó solo el 8 de noviembre y su estado es Received (aún sin analizar).
La visión de este sitio: pese a la puntuación, pesan más su lugar en el SSO y la falta de rastros
Sin figurar en KEV y sin explotación notificada, «esperar y ver» es defendible solo por la puntuación. Aun así, este sitio recomienda actuar esta semana si su OpenAM está expuesto a internet, por dos motivos.
Primero, una vez comprometido el centro del SSO, el mismo secuestro se extiende a todas las aplicaciones conectadas. Segundo, según describe el aviso, leer tokens deja poco rastro, así que después no es fácil demostrar que no pasó nada. Suponga que no puede demostrarlo y combine la actualización con la revocación de sesiones. La autenticación multifactor refuerza el paso de inicio de sesión, pero no detiene a quien reutiliza un token de sesión ya emitido (guía de autenticación multifactor).
Fuentes
- OpenIdentityPlatform/OpenAM — GHSA-5c3q-hp86-xjr8: OpenAM unauthenticated session token disclosure (publicado el 22 de octubre de 2026; versiones afectadas y corregidas, medidas provisionales, notas de actualización)
- CVE.org — CVE-2026-123551 (publicado el 8 de noviembre de 2026; 14.0.0 antes de 16.1.4; CVSS 10.0)
- NVD — CVE-2026-123551 (creado el 8 de noviembre; estado Received, es decir, sin analizar; CWE-201)
- CISA KEV — Known Exploited Vulnerabilities Catalog (se confirmó que no figura a 9 de noviembre)
Última verificación: 9 de noviembre de 2026.