CVE-2026-46495 in OpenDJ
Sumário
de VulDB • 15/09/2026
O OpenDJ é um serviço de diretório compatível com LDAPv3. Antes da versão 5.1.1, o conector JMX RMI em opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiConnector.java processa objetos de credenciais controlados pelo atacante antes da autenticação sem um padrão restritivo jmx.remote.rmi.server.credentials.filter.pattern, e o método RmiAuthenticator.authenticate em opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiAuthenticator.java aceita uma matriz Object não restringida em vez de uma String[] com dois elementos. Quando o Handler de Conexão JMX está habilitado e seu listener TCP é acessível, um atacante remoto não autenticado pode enviar um objeto Java serializado elaborado para obter execução de código no processo do servidor OpenDJ. O handler está desabilitado por padrão, e a exploração bem-sucedida depende do classpath em tempo de execução e da versão do Java; a execução remota de código foi demonstrada contra o OpenDJ 4.4.15 no JDK 11 com Jackson 2.12.6.1. Este problema é corrigido na versão 5.1.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.