OpenDJ 无需认证的远程代码执行(RCE)漏洞

sec随谈
sec随谈

sec随谈

2026年6月25日 09:20
北京

在小说阅读器读本章

去阅读

OpenDJ 目录服务存在一个严重的安全漏洞。这个 OpenDJ 无需认证的 RCE 漏洞,编号为 CVE-2026-46495,CVSS 评分高达 9.2,属于严重级别。该漏洞允许攻击者远程执行任意代码。

该威胁为何值得重视

OpenDJ 是一款兼容 LDAPv3 的目录服务软件,为组织内的身份信息提供高可用的存储服务。它运行在 Java 平台之上,使得企业级部署既快速又简便。用户可以将数据库存储在 SQL 或 NoSQL 集群中。

一旦攻击成功,这些敏感数据库将被完全暴露。许多管理员为了系统监控而启用了存在漏洞的 JMX 连接处理器(JMX Connection Handler),这会大幅扩大攻击面。如果不及时修补,无数服务器都将面临这一严重威胁。

攻击原理

该问题源于一个 Java 反序列化漏洞,归类于 CWE-502(对不可信数据的处理不当)。OpenDJ 平台会在要求用户认证之前就读取传入的字节数据。攻击者向 JMX RMI 连接器发送恶意数据,服务器随后处理这些由攻击者控制的字节,从而触发任意命令的执行。攻击者只需具备对监听端口的网络 TCP 访问权限即可,无需客户端证书,也无需任何预先获取的访问凭证。

受影响版本与缓解措施

该漏洞影响 OpenDJ 社区版(Community Edition)5.1.0 及之前的所有版本。安全研究人员在 OpenDJ 4.4.15 版本上演示了该攻击。目前已存在公开的概念验证(PoC)利用代码,但尚未确认有在野的实际攻击活动。

管理员必须迅速采取行动来保护自身环境,立即应用官方补丁。你可以直接从厂商处下载 OpenDJ 社区版 5.1.1 版本。请及时更新系统,以保护你的身份信息存储。

参考链接：

https://github.com/OpenIdentityPlatform/OpenDJ/releases/tag/5.1.1