CVE-2026-42779
Apache MINA: AbstractIoBuffer.resolveClass() ramo null-clazz salta il filtro acceptMatchers — RCE completa da deserializzazione di oggetti (seconda parte)
- Pubblicato
- 1 mag 2026
- Aggiornato
- 2 mag 2026
- Assegnazione CNA
- apache
- Evidenza osservata
- 26 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBasso · prossimi 30 giorni
- Percentile
- 57,7%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
La correzione per CVE-2026-41635 non è stata applicata ai rami 2.1.X e 2.2.X. Ecco la descrizione del problema originale: il metodo `AbstractIoBuffer.resolveClass()` di Apache MINA contiene due rami, uno dei quali (per classi statiche o tipi primitivi) non controlla affatto la classe, bypassando la allowlist dei nomi delle classi e consentendo l'esecuzione di codice arbitrario. La correzione verifica se la classe è presente nel filtro delle classi accettate prima di chiamare `Class.forName()`. Le versioni interessate sono Apache MINA 2.1.0 <= 2.1.11 e 2.2.0 <= 2.2.6. Il problema è risolto in Apache MINA 2.1.12 e 2.2.7 applicando la allowlist dei nomi delle classi in anticipo. Le applicazioni interessate sono quelle che utilizzano Apache MINA e chiamano `IoBuffer.getObject()`. Si consiglia alle applicazioni che utilizzano Apache MINA di eseguire l'aggiornamento.
Fonti
1- CVE-2026-42779Exploit
Proof-of-concept che dimostra un bypass del filtro di deserializzazione in Apache MINA che porta all'esecuzione remota di codice, con analisi dettagliata della causa principale, PoC di exploit e indicazioni di rimedio.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.