CVE-2026-39842 in OpenRemote
Sumário
de VulDB • 25/05/2026
O OpenRemote é uma plataforma IoT de código aberto. As versões 1.21.0 e anteriores contêm duas vulnerabilidades inter-relacionadas de injeção de expressão no mecanismo de regras que permitem a execução de código arbitrário no servidor. O mecanismo de regras JavaScript executa scripts fornecidos pelo usuário por meio do ScriptEngine.eval() do Nashorn, sem sandboxing, filtragem de classes ou restrições de acesso, e a verificação de autorização no RulesResourceImpl restringe apenas as regras Groovy aos superusuários, deixando as regras JavaScript sem restrições para qualquer usuário com a função write:rules. Além disso, o mecanismo de regras Groovy possui um filtro de segurança GroovyDenyAllFilter que é definido, mas nunca registrado, pois o código de registro está comentado, tornando o SandboxTransformer ineficaz para regras Groovy criadas por superusuários. Um atacante não superusuário com a função write:rules pode criar conjuntos de regras JavaScript que são executados com acesso total à JVM, permitindo execução remota de código como root, leitura arbitrária de arquivos, roubo de variáveis de ambiente, incluindo credenciais de banco de dados, e violação completa do isolamento multi-tenant para acessar dados em todos os realms. Este problema foi corrigido na versão 1.22.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.