CVE-2026-10532
NiskieCVSS 2.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
W logback-core stwierdzono podatność na deserializację niezaufanych danych w module HardenedObjectInputStream. Atakujący, który może wpływać na serializowane dane wysyłane do SimpleSocketServer lub SimpleSSLSocketServer, może tworzyć obiekty Proxy. Mimo że deserializacja jest silnie ograniczona, stanowi to obejście zamierzonych ograniczeń bezpieczeństwa.
Ocena ryzyka
Ryzyko polega na możliwości obejścia ograniczeń bezpieczeństwa deserializacji, co może prowadzić do nieautoryzowanych działań, choć praktyczne wykorzystanie do zdalnego wykonania kodu jest mało prawdopodobne.
Rekomendacja
Zaleca się aktualizację logback do wersji powyżej 1.5.33 lub zastosowanie dodatkowych zabezpieczeń, takich jak ograniczenie dostępu do SimpleSocketServer i SimpleSSLSocketServer.
Oryginalny opis (angielski, źródło NVD)
Deserialization of untrusted data vulnerability in QOS.CH Sarl logback logback-core (HardenedObjectInputStream (logback-core) modules) allows Object Injection, albeit heavily restricted. More precisely, an attacker able to influence serialized data sent to SimpleSocketServer or SimpleSSLSocketServer can instantiate Proxy objects. Although deserialization is heavily restricted by HardenedObjectInputStream and no practical way to achieve remote code execution or significant privilege escalation has been identified, this issue constitutes a bypass of the intended security restrictions. This issue affects logback: through 1.5.33 inclusive.