CVE-2024-41667 in OpenAM
要約
〜によって VulDB • 2026年06月08日
OpenAMは、オープンなアクセス管理ソリューションです。バージョン15.0.3およびそれ以前のバージョンでは、`RealmOAuth2ProviderSettings.java`内の`getCustomLoginUrlTemplate`メソッドが、ユーザー入力の使用によりテンプレートインジェクションの脆弱性に晒されています。開発者は、デフォルトのPingOne Advanced Identity Cloudログインページを上書きしてログインを処理するためのカスタムURLを実装することを意図していましたが、`CustomLoginUrlTemplate`の制限を行わず、自由に設定できる状態にしていました。コミットfcb8432aa77d5b2e147624fe954cb150c568e0b8は、FreeMarkerテンプレートインジェクションにおいて一般的に悪用されるクラスのリゾルブを無効化するために`TemplateClassResolver.SAFER_RESOLVER`を導入するものです。公開時点では、この修正はバージョン15.0.4に含まれる予定です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.