CVE-2026-42779 in MINA
Zusammenfassung
von VulDB • 20.05.2026
Die Korrektur für CVE-2026-41635 wurde nicht auf die Zweige 2.1.X und 2.2.X angewendet. Hier ist die ursprüngliche Problembeschreibung:
Apache MINAs `AbstractIoBuffer.resolveClass()` enthält zwei Zweige, von denen einer (für statische Klassen oder primitive Typen) die Klasse überhaupt nicht überprüft, wodurch die Allowlist der Klassennamen umgangen wird und die Ausführung beliebigen Codes ermöglicht wird.
Die Korrektur prüft, ob die Klasse im akzeptierten Klassenfilter vorhanden ist, bevor `Class.forName()` aufgerufen wird.
Betroffene Versionen sind Apache MINA 2.1.0 <= 2.1.11 sowie 2.2.0 <= 2.2.6.
Das Problem wurde in Apache MINA 2.1.12 und 2.2.7 behoben, indem die Allowlist der Klassennamen früher angewendet wird.
Betroffen sind Anwendungen, die Apache MINA verwenden und `IoBuffer.getObject()` aufrufen.
Es wird Anwendungen, die Apache MINA verwenden, empfohlen, ein Upgrade durchzuführen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.