CVE-2024-41667 in OpenAM
Zusammenfassung
von VulDB • 08.06.2026
OpenAM ist eine Open-Source-Lösung für das Zugriffsmanagement. In den Versionen 15.0.3 und älter ist die Methode `getCustomLoginUrlTemplate` in `RealmOAuth2ProviderSettings.java` aufgrund der Verwendung von Benutzereingaben anfällig für Template-Injection. Obwohl der Entwickler beabsichtigte, eine benutzerdefinierte URL zur Behandlung der Anmeldung zu implementieren, um die standardmäßige PingOne Advanced Identity Cloud-Anmeldeseite zu überschreiben, wurde die `CustomLoginUrlTemplate` nicht eingeschränkt, sodass sie frei festgelegt werden konnte. Der Commit fcb8432aa77d5b2e147624fe954cb150c568e0b8 führt `TemplateClassResolver.SAFER_RESOLVER` ein, um die Auflösung häufig ausgenutzter Klassen bei der FreeMarker-Template-Injection zu deaktivieren. Zum Zeitpunkt der Veröffentlichung wird erwartet, dass diese Korrektur Teil der Version 15.0.4 ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.