Uma explicação de uma vulnerabilidade de gravidade máxima (CVSS 10.0) no OpenAM, um produto de gerenciamento de acesso muito usado para logon único (SSO). Cobre o que acontece, quem é afetado e como responder, do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-123551 (aviso do GitHub GHSA-5c3q-hp86-xjr8)
- Gravidade
- CVSS v3.1 10.0 (crítica); também 10.0 no CVSS v4.0 (a pontuação v4.0 vem do registro CVE)
- Tipo
- Divulgação de token de sessão (CWE-201). O aviso também lista um contorno de autenticação (CWE-288), entre outros
- Pré-condições
- Sem autenticação; basta ter acesso de rede à porta do OpenAM. Segundo o aviso, as configurações padrão são afetadas
- Afetado
- OpenAM (Open Identity Platform) da 14.0.0 à 16.1.3
- Correção
- OpenAM 16.1.4
- Datas
- Aviso: 22 de outubro de 2026 / registro CVE: 8 de novembro de 2026
- Exploração
- O aviso não informa exploração. Não consta no CISA KEV (em 9 de novembro)
O risco de esperar
Segundo o aviso, um invasor não autenticado pode ler os tokens de sessão dos usuários, que funcionam como o próprio login. Se uma sessão de administrador for capturada, o aviso diz que isso pode levar à tomada da configuração e à execução de comandos como a conta de serviço do OpenAM. A coleta não deixa logins com falha nem bloqueios. Trate como prioridade máxima qualquer OpenAM exposto à internet.
O que é a vulnerabilidade
O OpenAM notifica os agentes (componentes colocados na frente dos aplicativos para verificar a autenticação) sobre criação de sessão, logout, expiração e mudanças de propriedades. Segundo o aviso, essas notificações carregam o identificador de sessão completo, que funciona como uma credencial ao portador: quem o possui é tratado como o usuário. As notificações de agentes vêm ativadas por padrão.
Duas fraquezas se combinam. A verificação que deveria limitar o WebSocket de notificações aos agentes pode ser contornada sem credenciais por um endpoint legado do Liberty ID-FF (um mecanismo de federação mais antigo). Depois de passar por ela, um cliente conectado pode se inscrever em qualquer tópico, inclusive os internos. Este site não descreve como explorá-la.
Antes (14.0.0 a 16.1.3)
- Clientes que não são agentes podem se conectar ao WebSocket de notificações
- As notificações contêm o identificador de sessão
- A coleta é passiva e não deixa rastro nos logs
Mudanças na 16.1.4
- Os filtros de segurança também rodam nos despachos internos de requisições
- Os endpoints ID-FF não encaminham mais para endpoints internos
- Os clientes WebSocket só podem se inscrever em tópicos de agentes
O aviso também observa que os mesmos endpoints legados do ID-FF redirecionam o navegador, após login, federação ou logout, para um endereço não verificado tirado da requisição, e que, com a reescrita de URL ativada, o token de sessão do usuário é anexado a esse endereço. Na 16.1.4 os destinos de redirecionamento só são aceitos a partir de uma lista de permissão por provedor.
Quem é afetado
| Item | Detalhe |
|---|---|
| Produto | OpenAM (Open Identity Platform) |
| Versões afetadas | Da 14.0.0 à 16.1.3 (redação do registro CVE: “from 14.0.0 before 16.1.4”) |
| Versão corrigida | 16.1.4 |
| Não afetadas | Versões anteriores à 14.0.0 (sem WebSocket de notificações) |
| Pacotes | openam-server-only, openam-federation-library, openam-notifications-websocket (grupo org.openidentityplatform.openam) |
- Segundo o aviso, as configurações padrão são afetadas.
- As versões derivadas e com suporte comercial dependem da versão que seus fornecedores publicarem. Pergunte ao seu fornecedor se a sua versão é afetada.
Como verificar se você é afetado
Verifique a versão do seu OpenAM
Veja a versão exibida no console de administração ou a do pacote implantado (WAR, JAR etc.). Da 14.0.0 à 16.1.3 é afetada. Se você tem instâncias de produção, homologação e desenvolvimento, verifique cada uma (checklist de inventário de ativos).
Verifique se ele pode ser acessado de fora
Verifique se a porta do OpenAM pode ser alcançada pela internet ou por qualquer outra rede não confiável. O aviso diz que alcançar a porta é tudo de que o invasor precisa.
Verifique se você usa notificações de agentes
Veja a configuração de notificações de agentes (org.forgerock.openam.notifications.agents.enabled). O aviso diz que ela vem ativada por padrão.
O que fazer hoje
Atualize para a 16.1.4 (prioridade máxima)
Atualize o OpenAM para a 16.1.4, depois de ler as notas de atualização do aviso. Se você redireciona usuários para outros hosts após login, federação ou logout do ID-FF, é preciso preencher a nova lista de URLs de Relay State por provedor. Se você personalizou o web.xml, adicione os elementos dispatcher que a 16.1.4 introduz.
Reduza os pontos de entrada até poder atualizar
As medidas alternativas do aviso estão abaixo. Elas não substituem a atualização.
・No proxy, no balanceador de carga ou no firewall, permita que apenas hosts de agentes conhecidos alcancem /openam/notifications e /openam/ws/*.
・Se seus agentes não dependem de notificações, desative as notificações de agentes (defina org.forgerock.openam.notifications.agents.enabled como false).
・Se você não usa a federação ID-FF, bloqueie os endpoints legados do Liberty ID-FF, incluindo /openam/preLogin e /openam/postLogin.
Revogue as sessões existentes após a atualização
O aviso pede que as sessões expostas sejam rotacionadas e que as sessões atuais de administradores e usuários sejam tratadas como potencialmente expostas. Depois de atualizar, force todos, administradores inclusive, a fazer login de novo. Como acréscimo deste site, revise também as sessões de longa duração em dispositivos e as sessões mantidas pelos aplicativos conectados. O guia de correção de vulnerabilidades cobre o processo.
Revise logs e alterações de configuração
O aviso lista como itens a monitorar as conexões WebSocket inesperadas, as inscrições em tópicos de sessão e as alterações na configuração de scripts. Para o período anterior à atualização, revise quem alcançou os endpoints de notificação e o histórico de alterações de configuração dos administradores. A leitura passiva não deixa logins com falha, então não encontrar nada não é motivo de alívio.
Reforce o ambiente de scripts
O aviso recomenda manter o sandbox de scripts ativo, restringir quem pode alterar a configuração de scripts e executar o contêiner sob um sandbox do sistema operacional. Isso limita o dano se uma sessão de administrador for tomada.
Situação da exploração
- O aviso não informa que exploração tenha sido observada. Ele diz que os detalhes técnicos e o código de prova de conceito foram retidos para dar tempo aos operadores de atualizar.
- Em 9 de novembro de 2026 a falha não consta no catálogo KEV da CISA (versão do catálogo 2026.11.06).
- O registro do NVD só foi criado em 8 de novembro e seu status é Received (ainda não analisado).
A visão deste site: pese mais o lugar dele no SSO e a falta de rastros do que a pontuação
Sem constar no KEV e sem exploração relatada, “esperar para ver” é defensável só pela pontuação. Mesmo assim, este site recomenda agir esta semana se o seu OpenAM estiver exposto à internet, por dois motivos.
Primeiro, uma vez comprometido o centro do SSO, o mesmo sequestro se espalha para todos os aplicativos conectados. Segundo, como o aviso descreve, ler tokens deixa pouco rastro, então depois não é fácil provar que nada aconteceu. Parta do princípio de que você não consegue provar e combine a atualização com a revogação de sessões. A autenticação multifator reforça a etapa de login, mas não impede quem reutiliza um token de sessão já emitido (guia de autenticação multifator).
Fontes
- OpenIdentityPlatform/OpenAM — GHSA-5c3q-hp86-xjr8: OpenAM unauthenticated session token disclosure (publicado em 22 de outubro de 2026; versões afetadas e corrigidas, medidas alternativas, notas de atualização)
- CVE.org — CVE-2026-123551 (publicado em 8 de novembro de 2026; 14.0.0 antes da 16.1.4; CVSS 10.0)
- NVD — CVE-2026-123551 (criado em 8 de novembro; status Received, ou seja, não analisado; CWE-201)
- CISA KEV — Known Exploited Vulnerabilities Catalog (confirmado que não consta em 9 de novembro)
Última verificação: 9 de novembro de 2026.
Leia em seguida
- Prática: O guia de correção de vulnerabilidades / Checklist de inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Autenticação: Guia de autenticação multifator / Autenticação versus autorização
- Termos: O que é fixação de sessão? / O que é CVSS?