CVE-2026-42779: Apache MINA: AbstractIoBuffer.resolveClass() の null-clazz ブランチが acceptMatchers フィルタをスキップ — 完全なオブジェクト逆シリアライゼーション RCE (第2弾) | Kitploit

CVE-2026-42779

重大公開済み

Apache MINA: AbstractIoBuffer.resolveClass() の null-clazz ブランチが acceptMatchers フィルタをスキップ — 完全なオブジェクト逆シリアライゼーション RCE (第2弾)

公開済み: 2026/05/01
更新済み: 2026/05/02
CNA の割り当て: apache
観察された証拠: 2026/08/26

プライマリ CVSS

9.8/ 10重大

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

0.9%

低 · 今後 30 日間

パーセンタイル: 57.7%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

CVE-2026-41635 の修正は 2.1.X および 2.2.X ブランチには適用されませんでした。以下が元の問題の説明です: Apache MINA の AbstractIoBuffer.resolveClass() には 2 つの分岐があり、そのうちの 1 つ（静的クラスまたはプリミティブ型用）はクラスをまったくチェックせず、クラス名の許可リストをバイパスして任意のコードが実行される可能性があります。この修正では、Class.forName() を呼び出す前に、クラスが許可されたクラスフィルタに存在するかどうかをチェックします。影響を受けるバージョンは Apache MINA 2.1.0 <= 2.1.11、および 2.2.0 <= 2.2.6 です。この問題は Apache MINA 2.1.12 および 2.2.7 で、クラス名の許可リストをより早い段階で適用することで解決されています。影響を受けるのは、Apache MINA を使用し IoBuffer.getObject() を呼び出すアプリケーションです。Apache MINA を使用するアプリケーションはアップグレードすることをお勧めします。

ソース

CVE-2026-42779エクスプロイト
Apache MINAにおける逆シリアル化フィルタのバイパスを実証する概念実証であり、リモートコード実行につながるものです。根本原因の詳細な分析、エクスプロイトPoC、および修復ガイダンスを含みます。

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。