OpenAM'deki kritik kimlik doğrulama açıklarına CVE atandı: SAML, WebSocket ve self-registration kusurları 16.1.4 ile kapanıyor
Açık kaynak kimlik ve erişim yönetimi platformu OpenAM'in 22 Ekim'de yayımlanan 16.1.4 sürümüyle kapattığı açıklar, 8 Kasım'da CVE kimliği aldı. Aralarında oturum token'larını sızdıran CVSS 10 bir açık ile kimlik doğrulamasız yönetici hesabı ele geçirmeye imkân veren iki CVSS 9.8 açık var.
CVE-2026-123551, CVE-2026-123550, CVE-2026-123549
OpenIdentityPlatform'un geliştirdiği açık kaynak kimlik ve erişim yönetimi (IAM) platformu OpenAM'in 22 Ekim'de 16.1.4 sürümüyle kapattığı açıklar, 8 Kasım'da VulnCheck tarafından CVE kimliği aldı. Toplu bültendeki en ağır üç kusur doğrudan kimlik doğrulamayı hedefliyor. CVSS 10 puanlı CVE-2026-123551, notification WebSocket üzerinden canlı oturum token'larının kimlik doğrulamasız ifşa edilmesine imkân veriyor. Bu da oturum ele geçirmeye ve yönetici hesabının devralınmasına kapı açıyor. CVSS 9.8 puanlı CVE-2026-123550'de SAML v2.0 service provider, bazı binding'lerde (ECP/PAOS ve HTTP-Artifact) WantAssertionsSigned kapalıyken imzasız assertion'ları kabul ediyor. Saldırgan böylece eşlenmiş herhangi bir kullanıcının, yöneticiler dahil, oturumunu elde edebiliyor.
Yine CVSS 9.8 puanlı CVE-2026-123549, self-registration akışında izin verilen öznitelik listesinin uygulanmamasından kaynaklanıyor. Bu kusurla anonim bir kullanıcı yönetici hesabı oluşturabiliyor. Bültende ayrıca yerleşik hesaplardaki varsayılan kimlik bilgileri (CVE-2026-123553), CRL dağıtım noktası üzerinden SSRF (CVE-2026-123552) ve çeşitli open redirect, XSS ve CSRF kusurları yer alıyor. Bu haberin yazıldığı saatte herhangi bir açığın saldırılarda kullanıldığına dair rapor ya da CISA KEV kaydı yok. Ancak OpenAM, arkasındaki tüm uygulamalara SSO sağladığı için tek bir hesabın ele geçirilmesi zincirleme etki yaratabilir.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| OpenAM — notification WebSocket (CVE-2026-123551) | 14.0.0 – 16.1.3 | 16.1.4 |
| OpenAM — SAML v2.0 SP (CVE-2026-123550) | 16.1.3 ve öncesi | 16.1.4 |
| OpenAM — self-registration (CVE-2026-123549) | 16.1.3 ve öncesi | 16.1.4 |
| OpenAM — diğer bülten maddeleri | Üretici bildirimindeki liste | 16.1.4 |
Ayrıntılı paket ve sürüm aralıkları için OpenAM'in GitHub güvenlik bültenleri sayfasına bakılmalı.
Beni etkiliyor mu?
- Sürümü yönetim konsolunun sürüm bilgisinden ya da uygulama dizinindeki kütüphane adlarından kontrol edin (yol kurulumunuza göre değişir):
ls /opt/tomcat/webapps/openam/WEB-INF/lib | grep -i openam-core- Konsolda Realms › (realm) › Services altında User Self Service etkin mi, bakın. Self-registration açıksa CVE-2026-123549 sizi doğrudan ilgilendirir.
- OpenAM bir SAML v2.0 service provider olarak çalışıyorsa, hosted SP ayarlarında assertion imzası zorunluluğunun (
WantAssertionsSigned) durumunu ve ECP ya da HTTP-Artifact binding'lerinin kullanılıp kullanılmadığını kontrol edin. - Sunucunun internete açık olup olmadığını ve WebSocket bildirim endpoint'ine kimlerin erişebildiğini reverse proxy ya da WAF kurallarınızdan doğrulayın.
Ne yapılmalı?
- OpenAM'i 16.1.4 ya da daha yeni bir sürüme yükseltin. Kimlik platformu olduğu için yükseltmeyi change management sürecinde, önce test ortamında doğrulayarak ama acil kayıt olarak planlayın.
- Yükseltme hemen yapılamıyorsa geçici önlem olarak self-registration'ı kapatın, SAML SP tarafında assertion imzasını zorunlu hâle getirin ve notification WebSocket endpoint'ini dış erişime kapatın.
- Yerleşik hesapların varsayılan parolalarla kalmadığından emin olun ve yönetici hesaplarının listesini gözden geçirin. Beklenmedik yeni yönetici hesabı olup olmadığına bakın.
- Yükseltme sonrasında tüm aktif oturumları sonlandırmayı ve yönetici oturum kayıtlarını son haftalar için incelemeyi değerlendirin.
- OpenAM'in SSO sağladığı uygulamalarda olağandışı oturum açma ve yetki değişikliklerini izlemeye alın.
