Alex-Sc

**Nome do Software Vulnerável e Versões Afetadas** OpenAM versões anteriores a 16.1.3 **Description** A interface SOAP JAX-RPC legada contém uma falha de instanciação arbitrária de classe não autenticada. Atacantes remotos podem enviar solicitações SOAP para o endpoint '/jaxrpc/*' usando um identificador de sessão não verificado e um nome de classe específico. Isso pode resultar em travamentos do servidor, sondagem do classpath ou potencial execução remota de código por meio de gadget chains, que são sequências de fragmentos de código existentes usados para atingir um objetivo não pretendido. **Recommendations** Atualize para a versão 16.1.3 ou posterior. Restrinja o acesso ao endpoint '/jaxrpc/*' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** OpenAM versões anteriores a 16.1.3 **Description** Um problema de server-side request forgery (SSRF) existe onde atacantes com permissões para registrar ou modificar clientes OAuth 2.0 podem forçar o servidor a buscar recursos internos. Isso ocorre através do uso de uma variável `jwks uri` não validada. Ao utilizar a autenticação de cliente e a validação de token de ID, buscas não autenticadas podem ser disparadas para sondar hosts internos, endpoints de metadados ou arquivos locais, ou para causar a negação de serviço através do esgotamento de threads de requisição. **Recommendations** Atualize para a versão 16.1.3 ou posterior.