CVE-2026-66909
Təsvir
Apache CXF-in JMS transportu daxil olan hər hansı JMS ObjectMessage-un gövdəsini heç bir tip məhdudiyyəti olmadan native Java deserializasiyası ilə deserializasiya edir. Xidmətin JMS təyinatına mesaj yerləşdirə bilən istənilən hücumçu zərərli serializasiya olunmuş obyekt təqdim edə bilər ki, bu da xidmətdən imtinaya və ya classpath-də uyğun gadget sinfi olduqda uzaqdan kodun icrasına səbəb olur. Düzəliş ObjectMessage deserializasiyasını defolt olaraq söndürür və lazım olduqda onu yenidən aktivləşdirmək üçün konfiqurasiya açarı təqdim edir. İstifadəçilərə bu problemi həll edən 4.2.3 və ya 4.1.8 və ya 3.6.12 versiyalarına yüksəltmə tövsiyə olunur.
Necə düzəltmək olar
- apache cxf3.6.12, 4.1.8, 4.2.3 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache cxf | v < 3.6.12, 4.0.0 ≤ v < 4.1.8, 4.2.0 ≤ v < 4.2.3 | 3.6.12, 4.1.8, 4.2.3 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.