george0papasotiriou/cve-2026-22187-bio-formats-unsafe-java-deserialization-via-.bfmemo
Bio-Formats ≤ 8.3.0 выполняет небезопасную десериализацию Java управляемых атакующим кэш-файлов .bfmemo во время обработки изображений; специально созданный .bfmemo может вызвать десериализацию недоверенных данных (DoS/манипуляция логикой; потенциально RCE при наличии gadget-цепочек).
Bio-Formats ≤ 8.3.0 выполняет небезопасную Java-десериализацию управляемых атакующим .bfmemo-файлов кэша во время обработки изображений; специально созданный .bfmemo может вызвать десериализацию недоверенных данных (DoS/манипуляция логикой; потенциально RCE при наличии gadget-цепочек).
Безопасное воспроизведение (только локально) Это НЕ создаёт gadget-цепочку и не выполняет код. Это лишь показывает, что .bfmemo десериализуется в демонстрационных целях.
javac -cp bioformats_package.jar DemoMemoizer.java java -cp .:bioformats_package.jar DemoMemoizer ./sample.tif
Это подходит для обучения, поскольку демонстрирует поверхность небезопасной десериализации без вредоносного использования.
