ESTOY BAJO UN CIBER ATAQUE

Alerta

Logo de OpenAM

Alerta 2026-156 Divulgación de tokens de sesión y otras fallas críticas en OpenAM

Producto(s) afectado(s): 

CVEVersiones afectadasCorregida en
CVE-2026-12355114.0.0 a 16.1.3 inclusive (antes de 14.0.0 no hay WebSocket de notificaciones)16.1.4 (22/10/2026)
CVE-2026-123549Todas hasta 16.1.3 inclusive, en realms con autorregistro habilitado (apagado por defecto)16.1.4
CVE-2026-123550Todas hasta 16.1.3 inclusive, cuando OpenAM actúa como proveedor de servicios SAML v2.0 y se cumplen las tres condiciones del aviso16.1.4

Producto: OpenIdentityPlatform OpenAM. La versión 16.1.4, publicada el 22/10/2026, es la recomendada y, al 10/11/2026, sigue siendo la más reciente.

Descripción

Se han publicado tres vulnerabilidades críticas en OpenIdentityPlatform OpenAM. El proveedor difundió la corrección el 22/10/2026, en la versión 16.1.4, que al 10/11/2026 sigue siendo la más reciente; los identificadores CVE se hicieron públicos el 07/11/2026. Este aviso se centra en esas tres fallas; la misma 16.1.4 cierra también otros avisos de menor o distinta gravedad, listados en las notas de versión.

La más grave es CVE-2026-123551. OpenAM publica eventos de sesión en un WebSocket de notificaciones que, con la configuración por defecto, incluyen el identificador de sesión, una credencial. El control que debería limitar ese canal a los agentes puede eludirse sin autenticación. Según el proveedor, un atacante que alcance el puerto de OpenAM puede recolectar tokens en vivo de usuarios y administradores —la recolección es pasiva, mientras haya actividad de sesión— y hacerse pasar por ellos ante OpenAM y ante las aplicaciones que dependen de él para el inicio de sesión único. Si se captura una sesión de administrador, el fabricante describe un alcance de superusuario que puede llegar a tomar la configuración y a ejecutar comandos en el servidor con la cuenta del servicio; no se trata de una ejecución remota de código independiente del robo de esa sesión. Las notificaciones a agentes están activadas por defecto y no hace falta tener federación, autoservicio ni agentes configurados para que las debilidades estén presentes. El fabricante y el registro CVE la califican con CVSS 3.1 10.0, crítica; el registro añade un CVSS 4.0 10.0, también crítica. Afecta de la 14.0.0 a la 16.1.3 inclusive; las versiones anteriores a 14.0.0 no tienen ese WebSocket.

CVE-2026-123549 y CVE-2026-123550 las puntúa el fabricante con CVSS 3.1 9.8, crítica; el registro CVE confirma ese 9.8 y añade un CVSS 4.0 9.3, crítica. En la primera, el autorregistro no aplica de forma completa la lista de atributos permitidos: un atacante anónimo puede fijar atributos restringidos, incluida la pertenencia a grupos, y entrar en un grupo administrativo. Abarca el endpoint REST heredado de autoservicio y el flujo actual de User Self-Service. El autorregistro está desactivado por defecto; solo están afectadas las instalaciones en las que esté habilitado en algún realm. El rango es todas las versiones hasta 16.1.3 inclusive, no a partir de 14.0.0.

CVE-2026-123550 aplica cuando OpenAM actúa como proveedor de servicios SAML v2.0: puede aceptar aserciones sin firmar en algunos bindings y emitir una sesión como el usuario nombrado, administradores incluidos. El fabricante precisa que se dan tres condiciones a la vez: el metadato anuncia el consumidor ECP/PAOS (lo hace por defecto); Assertions Signed / WantAssertionsSigned está en falso (también el valor por defecto del metadato generado); y el proveedor de servicios tiene configurada una clave de cifrado (esto lo elige el administrador y no forma parte de la configuración por defecto). Las instalaciones que no actúan como proveedor de servicios SAML v2.0 no están afectadas. El rango es, de nuevo, todas las versiones hasta 16.1.3 inclusive.

No se identificó explotación conocida ni una prueba de concepto pública. El fabricante retuvo a propósito los detalles técnicos y el código de prueba de concepto para dar tiempo a actualizar. Estas tres fallas no figuran, al 10/11/2026, en catálogos de vulnerabilidades explotadas conocidas.

Mitigación

Se recomienda inventariar las instancias de OpenIdentityPlatform OpenAM y su versión, y actualizar a 16.1.4. Mientras tanto, aplicar las mitigaciones del fabricante: restringir /openam/notifications y /openam/ws/* solo a los hosts de los agentes de confianza; bloquear los endpoints Liberty ID-FF heredados (/openam/preLogin y /openam/postLogin) si no se usan; y, si no hacen falta las notificaciones a agentes, desactivarlas con la propiedad documentada por el proveedor. Desactivar el autorregistro en los realms que no lo necesiten; si debe permanecer, apagar el flujo heredado y rechazar atributos fuera de la lista permitida. En los proveedores de servicios SAML v2.0, exigir aserciones firmadas, quitar ECP si no se utiliza y no dejar una clave de cifrado si no hace falta.

Tras actualizar o si se sospecha exposición, tratar las sesiones actuales —sobre todo las de administrador— como potencialmente expuestas: invalidarlas (un token ya obtenido sigue valiendo hasta que caduque) y rotar credenciales de administrador. Revisar las pertenencias a grupos privilegiados de cuentas creadas por autorregistro, y la configuración y los registros de inicio de sesión único SAML, en particular por el binding ECP en cuentas privilegiadas. El fabricante también señala vigilar conexiones WebSocket a /notifications que no vengan de agentes conocidos. Atender las notas de actualización (lista Relay State en ID-FF, lista Valid Creation Attributes y WantAssertionsSigned en federaciones HTTP-Artifact) para no romper la federación ni el autorregistro legítimo; en federaciones por HTTP-Artifact con los valores por defecto, conviene poner WantAssertionsSigned en verdadero antes de actualizar.

Estas medidas no sustituyen al parche. El parche no elimina un compromiso previo. El fabricante no publicó indicadores de compromiso.

Solución

La solución consiste en actualizar OpenIdentityPlatform OpenAM a la versión 16.1.4 en todas las instancias afectadas, invalidar las sesiones activas, revisar las pertenencias a grupos privilegiados y la configuración SAML, y aplicar mientras tanto las restricciones de red y de funciones que indica el fabricante.

Para info sobre cómo actualizar, visita el siguiente enlace:

https://doc.openidentityplatform.org/openam/release-notes/release-16.1.4

Información adicional: