CVE-2026-42778

Resumen

Corrección incompleta en el método AbstractIoBuffer.getObject() de Apache MINA. La validación de la lista blanca de nombres de clase que restringe qué clases pueden deserializarse se aplica demasiado tarde, después de que los inicializadores estáticos de las clases que se están leyendo puedan haberse ejecutado. Esto ocurre porque la corrección original para CVE-2024-52046 no se aplicó correctamente a las ramas 2.1.X y 2.2.X. Versiones afectadas: - Apache MINA 2.1.0 hasta 2.1.11 - Apache MINA 2.2.0 hasta 2.2.6

Exploit:

Descargar aquí

Detalles

• ID de CVE: CVE-2026-42778

• Publicado: 05/01/2026

• Impacto: Crítico

• Disponibilidad del exploit: No público, solo privado.

• CVSS: 9.8

• Parche disponible: (Aún no hay parche oficial)

Impacto

Un atacante puede crear objetos serializados maliciosos que, al ser procesados por IoBuffer.getObject(), ejecuten código arbitrario a través de inicializadores estáticos antes de que se realice la validación de la lista blanca de nombres de clase. Dado que esta es una vulnerabilidad accesible por red que no requiere privilegios ni interacción del usuario, es posible la ejecución remota de código en cualquier aplicación que use Apache MINA y que llame al método IoBuffer.getObject(). La vulnerabilidad permite el compromiso total de la confidencialidad, integridad y disponibilidad de los sistemas afectados.