c3p0 vulnerable to Remote Code Execution via unsafe deserialization of userOverridesAsString property

Un atacante que explote esta vulnerabilidad podría ejecutar código malicioso en el servidor donde se ejecuta la aplicación Java que utiliza c3p0. Esto podría resultar en la toma de control completa del sistema, robo de datos confidenciales, o la instalación de malware. La propiedad userOverridesAsString permite la inyección de código a través de objetos serializados, lo que facilita la ejecución de comandos arbitrarios. La severidad de este impacto se agrava por la amplia adopción de c3p0 en diversas aplicaciones empresariales, lo que amplía la superficie de ataque potencial.

Applications utilizing c3p0 for database connection pooling, particularly those handling external configuration data or user input that influences connection pool settings, are at risk. Systems with older, unpatched c3p0 installations are especially vulnerable. Shared hosting environments where multiple applications share the same c3p0 instance could also be affected, as a compromise in one application could potentially impact others.

• java / server:

# Check c3p0 version
java -version
# Inspect application logs for suspicious connection pool configuration changes
# Use a security scanner to identify vulnerable applications using c3p0

• generic web:

# Check for unusual serialized object data in request parameters or headers
# Monitor application logs for errors related to deserialization

1. 2026-02-26Disclosure

   disclosure

1. Reservado2026-02-24
2. Publicada2026-02-26
3. Modificada2026-05-04
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar la biblioteca c3p0 a la versión 0.12.0 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda implementar medidas de seguridad adicionales, como la validación estricta de los datos de entrada y la restricción de los permisos de la cuenta de usuario que ejecuta la aplicación. Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar el tráfico malicioso. Después de la actualización, verificar que la propiedad userOverridesAsString se maneje de forma segura y no permita la inyección de código.