CVE-2026-46495 in OpenDJ
Résumé
par VulDB • 15/09/2026
OpenDJ est un service de répertoire conforme à LDAPv3. Avant la version 5.1.1, le connecteur JMX RMI dans opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiConnector.java traite des objets d'authentification contrôlés par l'attaquant avant l'authentification sans un filtre restrictif jmx.remote.rmi.server.credentials.filter.pattern, et la méthode RmiAuthenticator.authenticate dans opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiAuthenticator.java accepte un tableau Object non contraint au lieu d'un String[] à deux éléments. Lorsque le gestionnaire de connexion JMX est activé et que son écouteur TCP est accessible, un attaquant distant non authentifié peut soumettre un objet Java sérialisé fabriqué pour obtenir une exécution de code dans le processus du serveur OpenDJ. Le gestionnaire est désactivé par défaut, et l'exploitation réussie dépend du classpath d'exécution et de la version de Java ; l'exécution de code à distance a été démontrée contre OpenDJ 4.4.15 sur JDK 11 avec Jackson 2.12.6.1. Ce problème est corrigé dans la version 5.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.