CVE-2026-86404

Nome do Software Vulnerável e Versões Afetadas Red Hat EAP Artemis (versões afetadas não especificadas)

Descrição O Red Hat EAP Artemis contém uma falha na qual a configuração de desserialização permite a desserialização de todas as classes por padrão. A função ObjectMessage.getObject() utiliza o ObjectInputStreamWithClassLoader, que gerencia a filtragem por meio dos métodos checkSecurity() e isTrustedType(). Como tanto a lista de permissões (allow-list) quanto a lista de bloqueio (block-list) estão vazias por padrão, o método isTrustedType() retorna verdadeiro para todas as classes, permitindo que cargas úteis de ObjectMessage não confiáveis sejam desserializadas. Isso pode ser explorado por atacantes remotos para acionar cadeias de gadgets, levando potencialmente à execução remota de código (RCE).

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Configure uma lista de permissões restritiva para a desserialização a fim de evitar o processamento de classes não confiáveis.