CVE-2026-66909
NieznaneStreszczenie
Transport JMS w Apache CXF deserializuje treść każdej przychodzącej wiadomości JMS ObjectMessage przy użyciu natywnej deserializacji Java, bez żadnych ograniczeń typów. Każdy atakujący, który może umieścić wiadomość w kolejce JMS usługi, może przesłać złośliwy zserializowany obiekt, prowadząc do odmowy usługi lub, jeśli odpowiednia klasa gadget znajduje się na ścieżce klas, do zdalnego wykonania kodu. Poprawka wyłącza domyślnie deserializację ObjectMessage, z możliwością ponownego włączenia przez konfigurację.
Ocena ryzyka
Ryzyko obejmuje możliwość zdalnego wykonania kodu na serwerze, co może prowadzić do całkowitej kompromitacji systemu, a także ataki DoS. Atak wymaga dostępu do kolejki JMS, co może być możliwe dla wewnętrznych użytkowników lub przez inne podatności.
Rekomendacja
Zaleca się natychmiastową aktualizację Apache CXF do wersji 4.2.3, 4.1.8 lub 3.6.12, które naprawiają tę podatność. Jeśli nie można zaktualizować, należy wyłączyć deserializację ObjectMessage w konfiguracji.
Oryginalny opis (angielski, źródło NVD)
Apache CXF's JMS transport deserializes the body of any inbound JMS ObjectMessage using native Java deserialization, with no type restrictions in place. Any attacker able to place a message on the service's JMS destination can submit a malicious serialized object, leading to denial of service or, if a suitable gadget class is on the classpath, remote code execution. The fix disables ObjectMessage deserialization by default, with a configuration switch to re-enable it if needed. Users are recommended to upgrade to versions 4.2.3 or 4.1.8 or 3.6.12, which fix this issue.