CVE-2026-66909
Açıklama
Apache CXF'in JMS taşıma katmanı, gelen her JMS ObjectMessage gövdesini yerel Java seri durumdan çıkarma kullanarak ve herhangi bir tür kısıtlaması olmaksızın seri durumdan çıkarır. Hizmetin JMS hedefine mesaj yerleştirebilen herhangi bir saldırgan, kötü amaçlı bir serileştirilmiş nesne göndererek hizmet reddine veya sınıf yolunda uygun bir gadget sınıfı varsa uzaktan kod çalıştırmaya yol açabilir. Düzeltme, ObjectMessage seri durumdan çıkarmayı varsayılan olarak devre dışı bırakır ve gerekirse yeniden etkinleştirmek için bir yapılandırma anahtarı sunar. Kullanıcıların bu sorunu düzelten 4.2.3 veya 4.1.8 veya 3.6.12 sürümlerine yükseltmeleri önerilir.
Nasıl düzeltilir
- apache cxf3.6.12, 4.1.8, 4.2.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache cxf | v < 3.6.12, 4.0.0 ≤ v < 4.1.8, 4.2.0 ≤ v < 4.2.3 | 3.6.12, 4.1.8, 4.2.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.