CVE-2026-53660: небезопасная инициализация SSO-куки в OpenAM
В OpenAM (OpenIdentityPlatform) до версии 16.1.1 SSO-кука iPlanetDirectoryPro создаётся без флага HttpOnly и без защитного значения SameSite по умолчанию, а OAuth/OIDC-потоки согласия переиспользуют её как CSRF-токен. В сочетании с XSS в том же источнике это позволяет перехватить SSO-сессию и выполнить согласие от имени пользователя. Критичность — высокая (CVSS 7.4).
Подробности
Уязвимость связана с некорректной инициализацией SSO-куки iPlanetDirectoryPro. По умолчанию она создаётся с отключённым флагом HttpOnly и без защитного значения SameSite, что делает её доступной для чтения клиентским сценариям и допускает отправку в межсайтовых запросах. Дополнительный фактор риска: потоки согласия OAuth и OpenID Connect переиспользуют эту же куку через механизм CsrfProtection в качестве CSRF-токена. Эксплуатация возможна при сочетании двух условий: наличии same-origin cross-site scripting (XSS) и переходе пользователя по ссылке, контролируемой атакующим. В такой ситуации кука может быть прочитана и переиспользована для кражи SSO-сессии, а также для выполнения согласий на выдачу доступа, инициированных атакующим. Уязвимости присвоен рейтинг CVSS 7.4 (HIGH). Затронут продукт OpenIdentityPlatform OpenAM. Проблема устранена в версии 16.1.1.Что делать
Основная рекомендация — обновить OpenAM до версии 16.1.1 или более поздней, где поведение инициализации куки исправлено. Если немедленное обновление невозможно, следует рассмотреть компенсирующие меры: - включить флаг HttpOnly для SSO-куки iPlanetDirectoryPro; - задать защитное значение SameSite (например, Lax или Strict) в зависимости от требований к сценариям аутентификации; - устранить причины межсайтового скриптинга: использовать строгую политику Content Security Policy, проводить проверку и экранирование пользовательского ввода, следить за сторонними компонентами; - ограничить или пересмотреть механику переиспользования SSO-куки как CSRF-токена в потоках согласия OAuth/OIDC; - усилить мониторинг подозрительных сессий и аномальных операций выдачи согласий. Итог: CVE-2026-53660 — существенный риск для развёртываний OpenAM, где сохраняется конфигурация по умолчанию. Поскольку эксплуатация требует наличия XSS, ключевое значение имеет сочетание своевременного обновления до 16.1.1 и системной работы по снижению рисков межсайтового скриптинга.Источник: CVE Project (cvelistV5)