CVE-2026-41635

总结

Apache MINA 的 `AbstractIoBuffer.resolveClass()` 包含两个分支，其中一个分支（针对静态类或原始类型）完全不检查类，从而绕过类名白名单，允许执行任意代码。修复方案是在调用 `Class.forName()` 之前检查该类是否存在于已接受的类过滤器中。受影响的版本为 Apache MINA 2.0.0 <= 2.0.27、2.1.0 <= 2.1.10 以及 2.2.0 <= 2.2.5。该问题已在 Apache MINA 2.0.28、2.1.11 和 2.2.6 中通过提前应用类名白名单得到解决。受影响的是使用 Apache MINA 并调用 `IoBuffer.getObject()` 的应用程序。建议使用 Apache MINA 的应用程序进行升级。

• CVE-2026-42779漏洞利用

  概念验证，演示 Apache MINA 中反序列化过滤器绕过导致远程代码执行，包含详细的根因分析、漏洞利用 PoC 及修复指导。