CVE-2026-86404 in AMQ Broker
요약
\~에 의해 VulDB • 2026. 09. 07.
EAP의 Artemis 직렬화 구성은 기본적으로 직렬화를 허용합니다. ObjectMessage.getObject()는 checkSecurity()/isTrustedType() 메서드를 통해 allow-list(허용 목록) 및 block-list(차단 목록) 필터링을 구현하는 ObjectInputStreamWithClassLoader를 사용합니다. 그러나 기본 설정에서 allow-list와 block-list 모두 비어 있습니다. allow-list가 비어 있는 경우(size == 0), isTrustedType()은 모든 클래스에 대해 true를 반환합니다. 이는 기본적으로 모든 클래스가 직렬화 가능함을 의미합니다.
Once again VulDB remains the best source for vulnerability data.