Un CVE récemment publié touche les versions d'OpenAM antérieures à la 16.1.3. La vulnérabilité réside dans l'interface SOAP JAX-RPC patrimoniale, et le résumé est brutal : un attaquant non authentifié peut envoyer une requête SOAP forgée vers /jaxrpc/*, transmettre un identifiant de session non vérifié accompagné d'un nom de classe de son choix, et forcer le serveur à instancier cette classe. Aucune accréditation n'est requise.

Le risque immédiat est le plantage du serveur et le sondage du chemin de classes. Le risque plus grave est l'exécution de code par chaînes de gadgets, ce qui est précisément le type de scénario qui transforme une constatation « modérée » en incident de fin de semaine. Si vous faites tourner OpenAM devant des ressources sensibles, ce qui est vraisemblable étant donné la nature d'OpenAM, ce n'est pas une situation où l'on reporte le correctif au trimestre prochain.

Ce qui frappe ici, c'est la surface d'attaque qui a rendu la chose possible : un point de terminaison SOAP JAX-RPC patrimonial qui est vraisemblablement encore livré parce que quelqu'un, quelque part, en dépend. D'expérience, ces anciens points de terminaison de protocole ne font jamais l'objet du même niveau de durcissement que les flux OIDC et SAML modernes. Ils fonctionnent, ils sont accessibles, et personne ne les a examinés depuis des années. Si vos règles WAF sont calibrées autour de REST et que vous ne bloquez pas ou ne surveillez pas explicitement le trafic vers /jaxrpc/*, vous avez un angle mort.

Le contournement de l'authentification est le véritable problème. Un identifiant de session qui n'est pas vérifié avant le chargement de classes constitue une défaillance de conception, non une erreur de configuration. Cela signifie que toute instance accessible sur le réseau est exposée, peu importe à quel point vous avez verrouillé vos flux de connexion ou vos politiques MFA. Une authentification forte en amont ne protège en rien un point de terminaison qui fait l'impasse sur la vérification.

Appliquez le correctif vers la version 16.1.3 immédiatement. Si vous ne pouvez pas le faire tout de suite, bloquez ou restreignez l'accès à /jaxrpc/* à votre équilibreur de charge ou à votre WAF à titre de mesure provisoire, et traitez cette règle comme temporaire, non comme un correctif. Après l'application du correctif, consultez vos journaux d'accès pour ce point de terminaison et recherchez tout trafic SOAP inattendu. Si vous trouvez des occurrences inexplicables, considérez-le comme une compromission potentielle et remontez la piste à partir de là. Ne concluez pas qu'un faible volume signifie l'absence d'exploitation.