ЗАГОЛОВЫ
В Red Hat JBoss Enterprise Application Platform выявлена уязвимость высокой критичности CVE-2026-15560 (CVSS 8.1). При запуске с флагом -secmgr компонент openjdk-orb принимает управляемые атакующим URL-адреса codebase в протоколе IIOP на порту 3528, что позволяет неаутентифицированному злоумышленнику загружать и создавать произвольные классы в JVM сервера. Уязвимость затрагивает JBoss EAP 7.4.25, 7.4 ELS на RHEL 7, JBoss EAP 8 и Expansion Pack.
Подробности
Уязвимость затрагивает следующие продукты:- Red Hat JBoss Enterprise Application Platform 7.4.25;
- Red Hat JBoss Enterprise Application Platform 7.4 ELS on RHEL 7;
- Red Hat JBoss Enterprise Application Platform 8;
- Red Hat JBoss Enterprise Application Platform Expansion Pack.
-secmgr компонент openjdk-orb (класс JDKBridge) доверяет URL-адресам codebase, которые передаёт атакующий в CDR-данных при десериализации (unmarshalling) объектов на порту 3528. Это даёт неаутентифицированному злоумышленнику возможность загрузить и создать экземпляры произвольных классов с удалённого URL в JVM сервера.
Ключевая особенность проблемы — момент её срабатывания: вредоносная загрузка классов происходит до того, как отработают перехватчики безопасности EJB (EJB security interceptors). Таким образом, штатные проверки подсистемы безопасности EJB не успевают заблокировать вредоносные действия, поскольку код уже исполняется в контексте сервера. Уязвимость отнесена к категории высокой критичности с оценкой CVSS 8.1 (HIGH).
Что делать
Основная рекомендация — установить обновления безопасности от Red Hat для JBoss EAP. Следите за официальными бюллетенями Red Hat и применяйте исправленные версии для вышеперечисленных продуктов, включая EAP 7.4.25, EAP 8 и Expansion Pack. Для EAP 7.4 ELS на RHEL 7 проверьте наличие патчей в рамках расширенной поддержки. Если немедленное обновление невозможно, рассмотрите следующие меры снижения риска:- ограничьте сетевой доступ к IIOP-порту 3528 (и другим CORBA-портам): он не должен быть доступен из недоверенных сетей, только для доверенных хостов, если функциональность действительно требуется;
- по возможности отключите поддержку IIOP, если приложения её не используют;
- используйте сетевую сегментацию, межсетевые экраны и ACL для блокировки исходящих и входящих соединений к недоверенным ресурсам;
- проверьте журналы на предмет подозрительных обращений к порту 3528 и необычной загрузки классов.
-secmgr сам по себе не защищает от этой уязвимости — механизм EJB security interceptors не успевает перехватить вредоносную активность.
Итог
CVE-2026-15560 — серьёзная уязвимость, позволяющая неаутентифицированному атакующему удалённо исполнять произвольный код в JVM сервера JBoss EAP в обход проверок безопасности EJB. Учитывая оценку CVSS 8.1 и потенциальные последствия (полная компрометация приложения), администраторам следует приоритизировать установку патчей и ограничить сетевой доступ к IIOP-порту 3528 до момента обновления.Источник: CVE Project (cvelistV5)