CVE-2026-41855: Desserialização insegura no Spring Framework via conversores Jackson JMS

Visão geral

A CVE-2026-41855 diz respeito a dois conversores de mensagens JMS do Spring Framework, MappingJackson2MessageConverter e JacksonJsonMessageConverter. Segundo o registro, em um ambiente JMS não confiável eles permitem a instanciação de classes arbitrárias. A fraqueza é classificada como CWE-502, desserialização de dados não confiáveis.

Impacto

O registro indica que a falha pode levar a ações não autorizadas por meio da desserialização de classes gadget.
A pontuação base CVSS da NVD é 9,8 (crítica). A pontuação fornecida pelo CNA no registro é 8,1.
O impacto técnico na avaliação SSVC está registrado como total.

Produtos e versões afetadas

A descrição lista o Spring Framework de 7.0.0 até 7.0.7, de 6.2.0 até 6.2.18, de 6.1.0 até 6.1.27 e de 5.3.0 até 5.3.48.
Os dados estruturados de versões usam limites superiores diferentes: versões a partir de 7.0.0 antes de 7.0.7.1, a partir de 6.2.0 antes de 6.2.18.1, a partir de 6.1.0 antes de 6.1.28 e a partir de 5.3.0 antes de 5.3.49.
As duas fontes não coincidem totalmente, por isso os limites exatos devem ser confirmados no comunicado do fabricante antes de qualquer decisão.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas.
A probabilidade EPSS é 0,00328, com percentil de 0,24671. O campo de exploração SSVC está como none e o campo de automatização como no.

Correção e mitigação

Atualize o Spring Framework para uma versão que o comunicado do fabricante indique como corrigida para o seu ramo: comunicado de segurança do Spring.
Enquanto não for possível aplicar a correção, restrinja os destinos JMS para que apenas produtores confiáveis possam enviar mensagens.
Revise onde os conversores afetados estão configurados e remova ou substitua os que não são necessários.
Trate como prioridade alta qualquer caminho JMS que aceite mensagens de fora da sua fronteira de confiança.

Orientação de detecção

Faça um inventário das aplicações que usam o suporte JMS do Spring Framework em conjunto com os conversores Jackson.
Monitore os consumidores JMS para identificar erros de desserialização inesperados, tipos de mensagem desconhecidos ou carregamento de classes incomum.
Cruze as anomalias dos consumidores com os registros de origem das mensagens para identificar remetentes não confiáveis.

Limitações das informações disponíveis

A lista de correções do registro está vazia, então nenhuma versão corrigida é confirmada por esse campo. Os dados estruturados de versões sugerem limites de correção, que devem ser verificados no comunicado do fabricante.
O registro contém limites de versão que diferem entre a descrição e os dados estruturados.
O registro não inclui prova de conceito técnica nem telemetria de exploração.
A data do EPSS no registro é posterior à data de publicação, e isso deve ser verificado na fonte.

Perguntas frequentes

Qual é o principal risco da CVE-2026-41855?

Segundo o registro, os conversores Jackson JMS podem instanciar classes arbitrárias em um ambiente JMS não confiável, o que pode levar a ações não autorizadas por meio da desserialização de classes gadget.

Há exploração conhecida desta CVE?

O registro indica que ela não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.

O que os administradores devem fazer primeiro?

Consulte o comunicado do fabricante para identificar a versão corrigida do seu ramo, atualize o Spring Framework e restrinja os destinos JMS a produtores confiáveis até que a atualização seja aplicada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.