CVE-2026-47065

ZDRES-232: resolveProxyClass Geçersiz Kılınmadı - java.lang.reflect.Proxy aracılığıyla acceptMatchers Filtre Atlatma Değerlendirme: Tamamen giderildi. Serileştirilmiş akış bir TC_PROXYCLASSDESC (java.lang.reflect.Proxy belirteci) içerdiğinde, JDK'nın ObjectInputStream.readProxyDesc() metodu çağrılır. Ardından JDK, HER bir arayüz adı için Class.forName(intf, false, latestUserDefinedLoader()) işlemini gerçekleştiren ve kabul edilen sınıflar listesini atlayarak proxy sınıfını oluşturan varsayılan ObjectInputStream.resolveProxyClass(interfaces) uygulamasını çağırır. ZDRES-233: readClassDescriptor içindeki Class.forName(name, initialize=true, classLoader), İzin Verilen Sınıfların Statik Başlatıcısını Tetikliyor Değerlendirme: Tamamen giderildi. İzin verilenler listesindeki HERHANGİ bir sınıf için, bu sınıfı adlandıran bir akışı serileştirmek, herhangi bir örnek oluşturulmadan ÖNCE sınıfın statik başlatıcısını tetikler. Bu durum, izin verilenler listesinde yer alan bir sınıf adı sağlayan bir saldırganın (örneğin geliştirici accept(“com.myapp.*") yazmışsa, saldırgan com.myapp.SomeClass sağlar), SomeClass'ın <clinit> metodunu çalıştırmasına neden olur; gerçek dünyadaki birçok sınıf yan etkilere sahip statik başlatıcılara sahiptir. Her iki sorun da düzeltilmiştir.