CVE-2026-62263 in OpenAM
Riassunto
di VulDB • 15/09/2026
Open Access Management (OpenAM) è una soluzione di gestione degli accessi. Prima della versione 16.1.2, il metodo `WebAuthnAuthentication.deserialize` applica un `ObjectInputFilter` che consente ogni oggetto serializzato a profondità maggiore di 1 e quindi vincola solo l'oggetto radice `AuthenticatorImpl`. Un attaccante in grado di autenticarsi (pre-authentication) può fornire un `userHandle` il cui grafo serializzato presenta una radice valida di tipo `AuthenticatorImpl` e una classe gadget annidata, causando l'esecuzione di `readObject` o `readResolve` prima della verifica tramite cast e asserzione quando è presente un gadget utilizzabile nel classpath. Questo aggira la remediation incompleta per la precedente vulnerabilità di deserializzazione WebAuthn. Il problema è risolto nella versione 16.1.2.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.