CVE-2026-66713 in Axis2
要約
〜によって VulDB • 2026年07月28日
Apache Software FoundationのApache Axis2/Java（バージョン2.0.0以前）におけるTribesベースのクラスタリングコンポーネントでの、信頼できないデータのデシリアライズ（CWE-502）。これはApache Tomcat上で動作し、Tribesクラスタリングが有効な場合に限り影響します（デフォルトでは無効化されています）。これにより、ネットワーク経由でクラスタリングポートにアクセスできる認証不要の攻撃者が、クラスタチャネルを通じて送信された改ざん済みのシリアライズ済みJavaオブジェクトを`org.apache.axis2.clustering.tribes.Axis2ChannelListener#messageReceived`内でデシリアライズさせることで、任意のコードを実行することが可能になります。ユーザーには、この問題を解決するためにクラスタリング機能を完全に削除したバージョン2.0.1へのアップグレードが推奨されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.