CVE-2026-22187-Bio-Formats-unsafe-Java-deserialization-via-.bfmemo

Bio-Formats ≤ 8.3.0 छवि प्रसंस्करण के दौरान हमलावर-नियंत्रित .bfmemo कैश फ़ाइलों का असुरक्षित Java डिसीरियलाइज़ेशन करता है; निर्मित .bfmemo अविश्वसनीय डेटा के डिसीरियलाइज़ेशन को ट्रिगर कर सकता है (DoS/लॉजिक हेरफेर; यदि गैजेट चेन मौजूद हैं तो संभावित RCE)।

सुरक्षित पुनरुत्पादन (केवल स्थानीय) यह गैजेट चेन नहीं बनाता है और न ही कोड निष्पादित करता है। यह केवल दिखाता है कि प्रदर्शन उद्देश्यों के लिए .bfmemo डिसीरियलाइज़ होता है।

एक नियंत्रित प्रयोगशाला में जहाँ आपके पास classpath पर Bio-Formats है

javac -cp bioformats_package.jar DemoMemoizer.java java -cp .:bioformats_package.jar DemoMemoizer ./sample.tif

यह शिक्षा के लिए उपयुक्त है क्योंकि यह दुर्भावनापूर्ण उपयोग के बिना असुरक्षित डिसीरियलाइज़ेशन सतह को प्रदर्शित करता है।