CVE-2026-42778
Apache MINA: CWE-502 信頼されないデータの逆シリアル化（第2版）
- 公開済み
- 2026/05/01
- 更新済み
- 2026/05/02
- CNA の割り当て
- apache
- 観察された証拠
- 2026/08/26
プライマリ CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H低 · 今後 30 日間
- パーセンタイル
- 49.7%
- モデルの日付
- 2026/09/21
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
CVE-2026-41409 の修正は、2.1.X および 2.2.X ブランチには適用されませんでした。以下は元の問題の説明です: Apache MINA の AbstractIoBuffer.getObject() における CVE-2024-52046 の修正は不完全でした。デシリアライズを許可するクラスのクラス名許可リストの適用が遅すぎたため、読み込まれるクラスの静的初期化子がすでに実行されている可能性がありました。影響を受けるバージョンは Apache MINA 2.1.0 <= 2.1.11、および 2.2.0 <= 2.2.6 です。この問題は Apache MINA 2.1.12 および 2.2.7 で、クラス名許可リストをより早く適用することで解決されています。影響を受けるのは、Apache MINA を使用し IoBuffer.getObject() を呼び出すアプリケーションです。Apache MINA を使用するアプリケーションはアップグレードすることをお勧めします。Apache MINA の AbstractIoBuffer.getObject() における CVE-2024-52046 の修正は不完全でした。デシリアライズを許可するクラスのクラス名許可リストの適用が遅すぎたため、読み込まれるクラスの静的初期化子がすでに実行されている可能性がありました。影響を受けるバージョンは Apache MINA 2.1.0 <= 2.1.110、および 2.2.0 <= 2.2.6 です。この問題は Apache MINA 2.1.12 および 2.2.7 で、クラス名許可リストをより早く適用することで解決されています。影響を受けるのは、Apache MINA を使用し IoBuffer.getObject() を呼び出すアプリケーションです。Apache MINA を使用するアプリケーションはアップグレードすることをお勧めします。
ソース
1CVE-2026-42778 EUVD-2026-26492 信頼できないデータの逆シリアル化（CWE-502）
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。