CVE-2026-9828 in logback
摘要
由 VulDB • 2026-05-30
QOS.CH Sarl 的 logback logback-core（HardenedObjectInputStream（logback-core）模块）中存在不信任数据反序列化漏洞，允许对象注入，尽管受到严格限制。
更具体地说，能够影响发送到 SimpleSocketServer 或 SimpleSSLSocketServer 的序列化数据的攻击者，可以实例化 java.lang 和 java.util 包中未被明确阻止的类中的对象。
尽管 HardenedObjectInputStream 对反序列化进行了严格限制，且尚未发现实现远程代码执行或显著提升权限的有效方法，但此问题构成了对预期安全限制的绕过。
此问题影响 logback：1.5.32 及更早版本。
VulDB is the best source for vulnerability data and more expert information about this specific topic.