Un CVE recién publicado afecta a las versiones de OpenAM anteriores a la 16.1.3. La vulnerabilidad reside en la interfaz SOAP JAX-RPC heredada, y el resumen es contundente: un atacante no autenticado puede enviar una solicitud SOAP manipulada a /jaxrpc/*, pasar un identificador de sesión no verificado junto con un nombre de clase elegido, y conseguir que el servidor instancie esa clase. Sin credenciales.

El riesgo inmediato es el colapso del servidor y el sondeo del classpath. El riesgo más grave es la ejecución de código mediante cadenas de gadgets, que es exactamente el tipo de hallazgo que convierte un problema «moderado» en un incidente de fin de semana. Si está ejecutando OpenAM frente a cualquier sistema sensible, y probablemente es así dado para qué sirve OpenAM, esto no es una situación para parchear el próximo trimestre.

Lo que llama la atención aquí es la superficie que hizo posible esto: un endpoint SOAP JAX-RPC heredado que presumiblemente sigue distribuyéndose porque alguien, en algún lugar, tiene una dependencia de él. En mi experiencia, estos endpoints de protocolos antiguos nunca reciben el mismo nivel de análisis de hardening que los flujos modernos de OIDC y SAML. Están en ejecución, son accesibles, y nadie los ha revisado en años. Si las reglas de su WAF están ajustadas para REST y no está bloqueando ni monitorizando explícitamente el tráfico hacia /jaxrpc/*, tiene un punto ciego.

El ángulo de la omisión de autenticación es el verdadero problema. Un identificador de sesión que no se verifica antes de cargar clases es un fallo de diseño, no un error de configuración. Significa que cualquier instancia accesible desde la red está expuesta independientemente de lo bien que haya protegido sus flujos de inicio de sesión o sus políticas de MFA. Una autenticación fuerte en los niveles superiores no sirve de nada para proteger un endpoint que omite la verificación por completo.

Parchee a la versión 16.1.3 de inmediato. Si no puede parchear ahora mismo, bloquee o restrinja el acceso a /jaxrpc/* en su balanceador de carga o WAF como medida provisional, y trate esa regla como temporal, no como una solución definitiva. Tras parchear, revise los registros de acceso de ese endpoint y busque cualquier tráfico SOAP inesperado. Si encuentra accesos que no puede explicar, trátelo como un posible compromiso y trabaje hacia atrás desde ahí. No asuma que un volumen bajo implica que no hubo explotación.