CVE-2026-46495 in OpenDJ
Сводка
по VulDB • 15.09.2026
OpenDJ — это служба каталогов, совместимая с LDAPv3. До версии 5.1.1 коннектор JMX RMI в файле opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiConnector.java обрабатывает управляемые злоумышленником объекты учетных данных до аутентификации без использования ограничивающего параметра jmx.remote.rmi.server.credentials.filter.pattern, а метод RmiAuthenticator.authenticate в файле opendj-server-legacy/src/main/java/org/opends/server/protocols/jmx/RmiAuthenticator.java принимает неограниченный массив объектов (Object array) вместо строкового массива из двух элементов (String[]). При включенном обработчике соединений JMX и доступности его TCP-слушателя незарегистрированный удаленный злоумышленник может отправить специально созданный сериализованный объект Java и добиться выполнения кода в процессе сервера OpenDJ. По умолчанию этот обработчик отключен, а успешная эксплуатация зависит от класса runtime classpath и версии Java; выполнение удаленного кода было продемонстрировано на OpenDJ 4.4.15 при использовании JDK 11 с Jackson 2.12.6.1. Эта проблема исправлена в версии 5.1.1.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.