Разбор уязвимости максимальной тяжести (CVSS 10.0) в OpenAM — продукте управления доступом, который часто используют для единого входа (SSO). Что происходит, кого это касается и как реагировать — со стороны защиты и без шагов атаки.
- CVE
- CVE-2026-123551 (бюллетень GitHub GHSA-5c3q-hp86-xjr8)
- Тяжесть
- CVSS v3.1 10.0 (Critical); в CVSS v4.0 тоже 10.0 (оценка v4.0 взята из записи CVE)
- Тип
- Раскрытие токена сеанса (CWE-201). Среди прочего бюллетень указывает и обход аутентификации (CWE-288)
- Условия
- Без аутентификации; достаточно сетевого доступа к порту OpenAM. Согласно бюллетеню, затронуты настройки по умолчанию
- Затронуто
- OpenAM (Open Identity Platform) с 14.0.0 по 16.1.3
- Исправление
- OpenAM 16.1.4
- Даты
- Бюллетень: 22 октября 2026 года / запись CVE: 8 ноября 2026 года
- Эксплуатация
- Бюллетень не указывает на эксплуатацию. Нет в CISA KEV (на 9 ноября)
Чем опасно ожидание
Согласно бюллетеню, неаутентифицированный атакующий может читать токены сеансов пользователей, которые сами служат входом. Если будет перехвачен сеанс администратора, по словам бюллетеня, это может привести к захвату конфигурации и выполнению команд с правами служебной учётной записи OpenAM. Сбор не оставляет неудачных входов или блокировок. Считайте OpenAM, доступный из интернета, главным приоритетом.
В чём заключается уязвимость
OpenAM уведомляет агентов (компоненты, стоящие перед приложениями и проверяющие аутентификацию) о создании сеанса, выходе, истечении времени и изменении свойств. Согласно бюллетеню, эти уведомления содержат полный идентификатор сеанса, который работает как предъявительский документ (bearer credential): тот, кто им обладает, считается пользователем. Уведомления агентов включены по умолчанию.
Сочетаются две слабости. Проверку, которая должна ограничивать WebSocket уведомлений только агентами, можно обойти без учётных данных через устаревшую конечную точку Liberty ID-FF (старый механизм федерации). После этого подключённый клиент может подписаться на любую тему, в том числе внутреннюю. Этот сайт не описывает, как это эксплуатировать.
До (14.0.0–16.1.3)
- К WebSocket уведомлений могут подключаться не только агенты
- Уведомления содержат идентификатор сеанса
- Сбор пассивный и не оставляет следов в журналах
Изменения в 16.1.4
- Фильтры безопасности работают и при внутренних перенаправлениях запросов
- Конечные точки ID-FF больше не передают запросы во внутренние конечные точки
- Клиенты WebSocket могут подписываться только на темы агентов
Бюллетень также отмечает, что те же устаревшие конечные точки ID-FF после входа, федерации или выхода перенаправляют браузер по непроверяемому адресу, взятому из запроса, а при включённой перезаписи URL токен сеанса пользователя добавляется к этому адресу. В 16.1.4 адреса перенаправления принимаются только из списка разрешённых для каждого провайдера.
Кого это касается
| Пункт | Подробности |
|---|---|
| Продукт | OpenAM (Open Identity Platform) |
| Затронутые версии | С 14.0.0 по 16.1.3 (формулировка записи CVE: "from 14.0.0 before 16.1.4") |
| Исправленная версия | 16.1.4 |
| Не затронуто | Версии до 14.0.0 (нет WebSocket уведомлений) |
| Пакеты | openam-server-only, openam-federation-library, openam-notifications-websocket (group org.openidentityplatform.openam) |
- Согласно бюллетеню, затронуты настройки по умолчанию.
- Производные и коммерчески поддерживаемые сборки зависят от версий, которые публикуют их поставщики. Спросите у поставщика, затронута ли ваша сборка.
Как проверить, затронуты ли вы
Проверьте версию OpenAM
Посмотрите версию в консоли администратора или версию развёрнутого пакета (WAR, JAR и т. д.). Затронуты версии с 14.0.0 по 16.1.3. Если у вас есть рабочая, тестовая и разработческая среды, проверьте каждую (чек-лист инвентаризации активов).
Проверьте, доступен ли он снаружи
Проверьте, можно ли добраться до порта OpenAM из интернета или другой недоверенной сети. Согласно бюллетеню, атакующему достаточно достичь порта.
Проверьте, используете ли вы уведомления агентов
Посмотрите параметр уведомлений агентов (org.forgerock.openam.notifications.agents.enabled). Согласно бюллетеню, по умолчанию он включён.
Что сделать сегодня
Обновитесь до 16.1.4 (главный приоритет)
Обновите OpenAM до 16.1.4, предварительно прочитав примечания бюллетеня по обновлению. Если после входа, федерации или выхода через ID-FF вы перенаправляете пользователей на другие хосты, нужно заполнить новый список Relay State URL List для каждого провайдера. Если вы изменяли web.xml, добавьте элементы dispatcher, появившиеся в 16.1.4.
Сузьте точки входа, пока не можете обновиться
Обходные меры из бюллетеня приведены ниже. Они не заменяют обновление.
・На прокси, балансировщике нагрузки или межсетевом экране разрешите доступ к /openam/notifications и /openam/ws/* только известным хостам агентов.
・Если ваши агенты не зависят от уведомлений, отключите уведомления агентов (установите org.forgerock.openam.notifications.agents.enabled в false).
・Если вы не используете федерацию ID-FF, заблокируйте устаревшие конечные точки Liberty ID-FF, включая /openam/preLogin и /openam/postLogin.
Отзовите существующие сеансы после обновления
Бюллетень просит заменить раскрытые сеансы и считать текущие сеансы администраторов и пользователей потенциально раскрытыми. После обновления заставьте всех, включая администраторов, войти заново. От себя этот сайт добавляет: проверьте также долгоживущие сеансы на устройствах и сеансы, которые держат подключённые приложения. Порядок действий описан в плейбуке устранения уязвимостей.
Проверьте журналы и изменения конфигурации
Бюллетень называет для наблюдения неожиданные подключения WebSocket, подписки на темы сеансов и изменения конфигурации скриптов. За период до обновления проверьте, кто обращался к конечным точкам уведомлений, и историю изменений конфигурации администраторами. Пассивное чтение не оставляет неудачных входов, поэтому отсутствие находок не успокаивает.
Усильте среду скриптов
Бюллетень советует держать песочницу скриптов включённой принудительно, ограничить круг тех, кто может менять конфигурацию скриптов, и запускать контейнер под песочницей ОС. Это ограничивает ущерб, если сеанс администратора будет захвачен.
Состояние эксплуатации
- Бюллетень не сообщает о наблюдавшейся эксплуатации. Он говорит, что технические подробности и код proof-of-concept не публикуются, чтобы дать операторам время на обновление.
- По состоянию на 9 ноября 2026 года уязвимости нет в каталоге KEV агентства CISA (версия каталога 2026.11.06).
- Запись NVD создана только 8 ноября, её статус — Received (ещё не проанализирована).
Мнение этого сайта: важнее оценки то, какое место занимает продукт в SSO и что следов не остаётся
Раз уязвимости нет в KEV и об эксплуатации не сообщалось, подход «подождать и посмотреть» можно защитить, опираясь только на оценку. Тем не менее этот сайт рекомендует действовать на этой неделе, если ваш OpenAM доступен из интернета, по двум причинам.
Во-первых, если скомпрометирован центр SSO, тот же перехват распространяется на все подключённые приложения. Во-вторых, как описано в бюллетене, чтение токенов оставляет мало следов, так что потом трудно доказать, что ничего не произошло. Исходите из того, что доказать этого нельзя, и сочетайте обновление с отзывом сеансов. Многофакторная аутентификация усиливает шаг входа, но не остановит того, кто повторно использует уже выданный токен сеанса (руководство по многофакторной аутентификации).
Источники
- OpenIdentityPlatform/OpenAM — GHSA-5c3q-hp86-xjr8: OpenAM unauthenticated session token disclosure (опубликовано 22 октября 2026 года; затронутые и исправленные версии, обходные меры, примечания по обновлению)
- CVE.org — CVE-2026-123551 (опубликовано 8 ноября 2026 года; с 14.0.0 до 16.1.4; CVSS 10.0)
- NVD — CVE-2026-123551 (создано 8 ноября; статус Received, то есть не проанализировано; CWE-201)
- CISA KEV — Known Exploited Vulnerabilities Catalog (отсутствие в каталоге подтверждено на 9 ноября)
Последняя проверка: 9 ноября 2026 года.
Читайте далее
- Практика: Плейбук устранения уязвимостей / Чек-лист инвентаризации активов
- Решение: Приоритизация по CVSS, EPSS и KEV
- Аутентификация: Руководство по многофакторной аутентификации / Аутентификация и авторизация: в чём разница
- Термины: Что такое фиксация сеанса? / Что такое CVSS?