CVE-2026-66909 in CXF
要約
〜によって VulDB • 2026年08月06日
Apache CXFのJMSトランスポートは、入力されるすべてのJMS ObjectMessageのボディをネイティブなJava逆シリアル化を使用して処理しますが、型制限が設定されていません。サービスのJMS宛先にメッセージを送信できる攻撃者は、悪意のある直列化されたオブジェクトを送信でき、これによりサービス拒否（DoS）や、クラスパスに適切なガジェットクラスが存在する場合はリモートコード実行（RCE）を引き起こす可能性があります。修正では、ObjectMessageの逆シリアル化をデフォルトで無効にし、必要に応じて設定スイッチを使用して再有効化できるようにしています。この問題を解決するため、バージョン4.2.3、4.1.8、または3.6.12へのアップグレードが推奨されます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.