OpenRemote до 1.31.0: обход авторизации шлюза через обратимый mapAssetId (CVE-2026-116186)
В OpenRemote core (openremote-manager) до версии 1.31.0 обнаружена уязвимость обхода авторизации на уровне шлюза. Атакующий, контролирующий зарегистрированный edge-шлюз, может подделывать идентификаторы активов в событиях и изменять или удалять объекты в любом realm, нарушая изоляцию тенантов. Оценка CVSS — 2.3 (LOW).
Подробности
Уязвимость присутствует в компоненте openremote core (openremote-manager) во всех версиях до 1.31.0. При обработке входящих событий от edge-шлюзов платформа не выполняет проверку авторизации на уровне realm и на принадлежность к потомкам шлюза (gateway-descendant). Вместо этого идентификаторы активов в событиях преобразуются исключительно через функцию GatewayConnector.mapAssetId — обратимую трансформацию, не обеспечивающую должной проверки прав. Атакующий, получивший контроль над зарегистрированным шлюзом, может сконструировать «прообразные» (pre-image) идентификаторы в сообщениях AttributeEvent или DELETE AssetEvent. В результате он способен перезаписывать атрибуты или удалять активы в произвольном realm, а не только в том, к которому относится его шлюз. Это приводит к нарушению изоляции тенантов (tenant isolation) — базового принципа многопользовательской архитектуры платформы. Несмотря на низкую оценку CVSS (2.3), последствия эксплуатации могут быть существенными для мультитенантных развёртываний: целостность данных активов и их доступность оказываются под угрозой, а границы между клиентскими средами — размытыми. Низкий балл во многом отражает требования к вектору атаки (необходимость контроля над зарегистрированным шлюзом), а не масштаб потенциального ущерба.Что делать
Основная рекомендация — обновить OpenRemote до версии 1.31.0 или более поздней, в которой устранена проблема авторизации при обработке входящих событий шлюзов. Перед обновлением рекомендуется провести инвентаризацию зарегистрированных edge-шлюзов и убедиться, что доступ к ним имеют только доверенные субъекты. В качестве дополнительных мер митигации до установки обновления стоит ограничить сетевой доступ к шлюзам, усилить контроль учётных данных и сертификатов, используемых для их регистрации, а также организовать мониторинг подозрительных сообщений AttributeEvent и DELETE AssetEvent, поступающих от шлюзов. Для мультитенантных инсталляций полезно проверить журналы на предмет событий, затрагивающих активы за пределами ожидаемого realm. Итог: CVE-2026-116186 — уязвимость обхода авторизации, способная нарушить изоляцию тенантов в OpenRemote. Несмотря на низкую оценку CVSS, она требует внимания администраторов мультитенантных и шлюзовых развёртываний; наиболее надёжное решение — переход на версию 1.31.0.Источник: CVE Project (cvelistV5)