CVE-2026-39842 in OpenRemote
요약
\~에 의해 VulDB • 2026. 05. 25.
OpenRemote는 오픈소스 IoT 플랫폼입니다. 버전 1.21.0 및 그 이하 버전에는 규칙 엔진에서 서로 연관된 두 가지 표현식 주입 취약점이 포함되어 있어 서버에서 임의의 코드 실행이 가능합니다. JavaScript 규칙 엔진은 샌드박스 처리, 클래스 필터링 또는 접근 제한 없이 Nashorn의 ScriptEngine.eval()를 통해 사용자가 제공한 스크립트를 실행합니다. 또한 RulesResourceImpl의 권한 확인은 superuser에게만 Groovy 규칙을 제한하는 반면, write:rules 역할을 가진 모든 사용자에게는 JavaScript 규칙이 제한 없이 허용됩니다. 추가로 Groovy 규칙 엔진에는 GroovyDenyAllFilter라는 보안 필터가 정의되어 있지만 등록 코드가 주석 처리되어 있어 실제로 등록되지 않았기 때문에, superuser가 생성한 Groovy 규칙에 대해 SandboxTransformer가 무력화됩니다. write:rules 역할을 가진 비-superuser 공격자는 전체 JVM 접근 권한으로 실행되는 JavaScript 규칙셋을 생성할 수 있으며, 이를 통해 루트 권한으로의 원격 코드 실행, 임의의 파일 읽기, 데이터베이스 자격증명을 포함한 환경 변수 탈취, 그리고 모든 리름(Realm) 간 데이터 접근을 위한 완전한 멀티 테넌트 격리 우회가 가능합니다. 이 문제는 버전 1.22.0에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.