CVE-2026-46498: критическая уязвимость в OpenAM позволяет выпускать произвольные OAuth-токены
В OpenIdentityPlatform OpenAM до версии 16.1.1 обнаружена уязвимость высокой критичности (CVSS 7.6), позволяющая злоумышленнику выпускать OAuth bearer-токены и ID-токены OpenID Connect с произвольными subject, client, realm и scope. Проблема затрагивает инсталляции с включённым Push Registration и анонимными SNS-callback'ами. Исправление доступно в версии 16.1.1.
Подробности
Уязвимость затрагивает OpenAM версий до 16.1.1. Суть проблемы заключается в двух взаимосвязанных дефектах реализации. Во-первых, компонент OAuthTokenStore читает идентификаторы токенов, переданные вызывающей стороной, из общего Core Token Store (CTS), при этом не используя отдельное пространство имён исключительно для OAuth. Во-вторых, OAuthAdapter принимает запись, в BLOB-поле которой якобы содержится OAuth-токен, не привязывая её к доверенному типу CTS и не проверяя целостность данных. Эксплуатация становится возможной, если атакующий способен разместить контролируемый JSON в CTS под известным идентификатором токена — например, через процедуру Push Registration с последующим анонимным SNS-callback'ом во включённом realm. В результате злоумышленник может выпускать OAuth bearer-токены и ID-токены OpenID Connect с произвольно выбранными subject, client, realm и scope. Важно отметить: сама по себе уязвимость не создаёт сессию единого входа (SSO) OpenAM и не предоставляет доступ к административной консоли. Тем не менее выпуск поддельных токенов способен привести к обходу аутентификации и несанкционированному доступу к ресурсам, защищённым OAuth/OIDC, что делает угрозу серьёзной для затронутых развёртываний. Уязвимость исправлена в версии 16.1.1.Что делать
Основная рекомендация — обновить OpenAM до версии 16.1.1 или более поздней. Это единственный надёжный способ устранения дефекта. Если немедленное обновление невозможно, следует рассмотреть временные меры. В первую очередь — отключить Push Registration в затронутых realm'ах и заблокировать анонимные SNS-callback'и, поскольку именно этот вектор используется для размещения контролируемых данных в CTS. Дополнительно стоит ограничить сетевой доступ к эндпоинтам, связанным с регистрацией устройств и обработкой callback-запросов, а также усилить мониторинг выпуска OAuth/OIDC-токенов на предмет аномалий — например, токенов с неожиданными сочетаниями subject, client и scope. Однако все эти меры являются лишь смягчающими и не заменяют полноценное обновление. Итог: CVE-2026-46498 — серьёзная уязвимость в OpenAM, позволяющая выпускать произвольные OAuth/OIDC-токены. Всем организациям, использующим затронутые версии, следует в приоритетном порядке обновиться до 16.1.1 и, при наличии такой возможности, проверить журналы на предмет признаков эксплуатации.Источник: CVE Project (cvelistV5)