OpenIdentityPlatform OpenAM
OpenAM: token di sessione leggibili dal WebSocket di notifica senza autenticazione
Il problema, secondo i dati ufficiali
- In OpenIdentityPlatform OpenAM una falla di divulgazione di informazioni permette di leggere token di sessione attivi dal WebSocket di notifica. Il controllo che dovrebbe limitare l'accesso ai soli agenti viene aggirato tramite un inoltro interno non validato sugli endpoint legacy Liberty ID-FF.
- Chi attacca può raccogliere i token iPlanetDirectoryPro e usarli per dirottare le sessioni di utenti e amministratori.
- Secondo il punteggio ufficiale, la falla si sfrutta via rete, quindi anche da internet se il servizio è esposto, senza bisogno di un account.
Cosa fare
- Aggiorna OpenAM alla versione 16.1.4 o successiva.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
- La falla espone credenziali: dopo l'aggiornamento cambia le credenziali che possono essere state lette (password, chiavi, token), perché quelle già copiate restano valide finché non le sostituisci.
Versioni interessate
- OpenAM: dalla 14.0.0 alla 16.1.4 esclusa
- OpenAM: dalla 14.0.0 alla 16.1.4 esclusa
- OpenAM: dalla 14.0.0 alla 16.1.4 esclusa
Fonti ufficiali
- github.com — avviso del produttore
- www.vulncheck.com — riferimento
Descrizione ufficiale (in inglese)
OpenAM from 14.0.0 before 16.1.4 contains an information disclosure vulnerability that allows unauthenticated attackers to read live session tokens from the notification WebSocket. Attackers can bypass the agent-only check through an unvalidated internal forward on legacy Liberty ID-FF endpoints, collecting iPlanetDirectoryPro tokens to hijack user and administrator sessions.
Non sai se ti riguarda?
Se usi OpenIdentityPlatform OpenAM e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Il riassunto del problema è scritto da un modello linguistico (Claude di Anthropic) a partire dalla descrizione ufficiale, e controllato in automatico contro di essa. Soluzione e versioni vengono solo dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Ultimo aggiornamento: 13 novembre 2026. Prima di intervenire verifica l'avviso del produttore.