Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ZDRES-232：未替代 resolveProxyClass - 通过 java.lang.reflect.Proxy 评估绕过 acceptMatchers 过滤器：完全解决。当序列化流包含TC_PROXYCLASSDESC（java.lang.reflect.Proxy 的标记）时，会调度 JDK 的 ObjectInputStream.readProxyDesc（）。然后，JDK 调用默认 ObjectInputStream.resolveProxyClass（interfaces） 实现，这将为每个接口名称执行 Class.forName（intf， false， latestUserDefinedLoader（）） 并构造代理类，绕过接受的类列表。ZDRES-233：readClassDescriptor 中的 Class.forName（name， initialize=true， classLoader） 触发了列入允许列表类的静态初始化程序评估：已完全解决。对于允许列表中的任何类，反序列化命名它的流会在构造任何实例之前触发该类的（静态初始化器）。这意味着攻击者如果在允许列表中提供类名称（例如，开发人员写入了 accept（com.myapp.*），攻击者提供了 com.myapp.SomeClass）， <clinit> 会造成 SomeClass，并且许多实际类都存在副作用静态初始化程序这两个问题均已修复。（CVE-2026-47065）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-47065

critical Nessus 插件 ID 318697

版本 1.1