🟠 《高危安全漏洞：CVE-2026-21655》

CVSS 评分: 高危（8.7）　　状态: Received　　发布时间: 2026-07-23

漏洞简介

CVE-2026-21655 是一个存在于 Johnson Controls 公司旗下 victor 软件（运行于 Windows 平台）中的 反序列化不可信数据（Deserialization of untrusted data） 漏洞。该漏洞对应 CWE-502 分类，攻击者可以利用该漏洞实现 CAPEC-586（对象注入攻击，Object Injection）。

该漏洞的核心问题在于：victor 软件在处理外部输入数据时，未对反序列化操作进行充分的信任边界检查，导致攻击者可以构造恶意的序列化对象数据，并在目标系统上触发反序列化过程。一旦成功利用，攻击者能够在目标主机上执行任意代码，从而完全控制受影响的系统。

影响范围

  • 受影响产品：Johnson Controls victor（Windows 版本）
  • 受影响版本：从 2.9 版本开始，至 3.0 版本之前（即 2.9.x 系列版本均受影响，3.0 版本已修复）

风险分析

  • 攻击向量：该漏洞可通过 相邻网络（AV:A） 进行利用，攻击者无需身份认证（PR:N），也无需用户交互（UI:N），攻击复杂度较低（AC:L）。
  • 攻击后果：成功利用该漏洞后，攻击者可获得对目标系统的 高完整性（VI:H）、高机密性（VC:H） 和 高可用性（VA:H） 影响，即能够读取、修改或删除任意数据，并可能导致服务中断。由于漏洞位于建筑管理或安防控制软件（victor）中，攻击者可能进一步横向移动，影响整个楼宇自动化或安防监控网络。
  • CVSS 评分：根据 CVSS 4.0 向量，该漏洞的基础评分极高，属于 严重（Critical） 级别，建议立即采取修复措施。

注意：该漏洞由 Johnson Controls 官方在安全公告中披露，建议用户尽快升级至 victor 3.0 或更高版本以消除风险。

🔍 技术细节

字段 值
CVE ID CVE-2026-21655
CVSS 评分 8.7 🟠
严重程度 高危
CVSS 向量 CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-502
发布时间 2026-07-23
最后更新 2026-07-23
状态 Received
数据来源 productsecurity@jci.com

🔗 参考链接