CVE-2026-14265
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 — wyżej niż 33% wszystkich znanych CVE
Streszczenie
Podatność w RemoteQueryCachePlugin w AWS Advanced JDBC Wrapper (wersje 3.3.0 do 4.0.0) umożliwia wykonanie dowolnego kodu na serwerach aplikacji poprzez deserializację zaufanych danych z pamięci podręcznej Redis lub Valkey. Atakujący z dostępem do zapisu do współdzielonej pamięci podręcznej może wstrzyknąć spreparowany obiekt Java, który po odczytaniu przez aplikację uruchamia łańcuch gadżetów.
Ocena ryzyka
Ryzyko polega na możliwości zdalnego wykonania kodu na serwerach aplikacji, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub przerwania działania usług.
Rekomendacja
Należy niezwłocznie zaktualizować AWS Advanced JDBC Wrapper do wersji 4.0.1 lub nowszej, która zawiera poprawkę eliminującą podatność.
Oryginalny opis (angielski, źródło NVD)
Deserialization of untrusted data in the RemoteQueryCachePlugin in Amazon Web Services AWS Advanced JDBC Wrapper 3.3.0 through 4.0.0 might allow an actor with write access to the shared cache infrastructure to execute arbitrary code on application servers that read cached query results via a crafted serialized Java object. The RemoteQueryCachePlugin uses ObjectInputStream without class filtering when deserializing cached query results from Redis or Valkey, enabling gadget chain execution when cache entries are poisoned. We recommend upgrading to AWS Advanced JDBC Wrapper version 4.0.1 or later.