CVE-2026-67615
Açıklama
2026.1.0 öncesindeki openEQUELLA, kimliği doğrulanmış herhangi bir misafir olmayan kullanıcının /invoker/* adresindeki HTTP invoker uç noktasında Java deserialization özelliğini istismar ederek rastgele kod çalıştırmasına izin veren, kimlik doğrulaması gerektiren bir uzaktan kod çalıştırma zafiyeti içermektedir. Saldırganlar, serileştirilmiş bir yükü java.security.SignedObject içine yerleştirerek PluginAwareObjectInputStream tarafından uygulanan sınıf adı engelleme listesini (denylist) atlayabilir; bu durum, iç akışın engelleme listesini uygulamayan ayrı bir ObjectInputStream tarafından deserialize edilmesine neden olarak nihayetinde bir JNDI sink noktasına ulaşılmasını ve kod çalıştırılmasını sağlar.
Nasıl düzeltilir
- Apereo Foundation openEQUELLA2026.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Apereo Foundation openEQUELLA | v < 2026.1.0 | 2026.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.