CVE-2026-42778

Обзор

Неполное исправление в методе AbstractIoBuffer.getObject() в Apache MINA. Проверка разрешённого списка имён классов, которая ограничивает, какие классы могут быть десериализованы, применяется слишком поздно — после того, как статические инициализаторы в читаемых классах могли уже выполниться. Это происходит потому, что исходное исправление для CVE-2024-52046 не было должным образом применено к веткам 2.1.X и 2.2.X. Затронутые версии: - Apache MINA 2.1.0 – 2.1.11 - Apache MINA 2.2.0 – 2.2.6

Эксплойт:

Скачать здесь

Детали

• ID CVE: CVE-2026-42778

• Опубликовано: 05.01.2026

• Воздействие: Критическое

• Доступность эксплойта: Не публичный, только приватный.

• CVSS: 9.8

• Патч доступен: (Официального патча пока нет)

Воздействие

Злоумышленник может создать вредоносные сериализованные объекты, которые при обработке методом IoBuffer.getObject() выполняют произвольный код через статические инициализаторы до того, как произойдёт проверка разрешённого списка имён классов. Поскольку это уязвимость, доступная по сети и не требующая привилегий или взаимодействия с пользователем, возможно удалённое выполнение кода в любом приложении, использующем Apache MINA и вызывающем метод IoBuffer.getObject(). Уязвимость позволяет полностью скомпрометировать конфиденциальность, целостность и доступность затронутых систем.