CVE-2026-41635
Apache MINA: il ramo null-clazz di AbstractIoBuffer.resolveClass() salta il filtro acceptMatchers — RCE completa tramite deserializzazione di oggetti
- Pubblicato
- 27 apr 2026
- Aggiornato
- 28 apr 2026
- Assegnazione CNA
- apache
- Evidenza osservata
- 26 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 48,9%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Il metodo `AbstractIoBuffer.resolveClass()` di Apache MINA contiene due rami, uno dei quali (per classi statiche o tipi primitivi) non controlla affatto la classe, aggirando la lista consentita dei nomi di classe e consentendo l'esecuzione di codice arbitrario. La correzione verifica se la classe è presente nel filtro delle classi accettate prima di chiamare `Class.forName()`. Le versioni interessate sono Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10 e 2.2.0 <= 2.2.5. Il problema è risolto in Apache MINA 2.0.28, 2.1.11 e 2.2.6 applicando la lista consentita dei nomi di classe in una fase precedente. Sono interessate le applicazioni che utilizzano Apache MINA e chiamano `IoBuffer.getObject()`. Si consiglia alle applicazioni che utilizzano Apache MINA di eseguire l'aggiornamento.
Fonti
1- CVE-2026-42779Exploit
Proof-of-concept che dimostra un bypass del filtro di deserializzazione in Apache MINA che porta all'esecuzione remota di codice, con analisi dettagliata della causa principale, PoC di exploit e indicazioni di rimedio.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.