CVE-2026-41635 in MINA
Riassunto
di VulDB • 24/06/2026
La funzione `AbstractIoBuffer.resolveClass()` di Apache MINA presenta due rami; uno di essi (per le classi statiche o i tipi primitivi) non effettua alcun controllo sulla classe, aggirando la allowlist dei nomi delle classi e consentendo l'esecuzione di codice arbitrario.
La correzione verifica se la classe è presente nel filtro delle classi accettate prima di chiamare `Class.forName()`.
Le versioni interessate sono Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10 e 2.2.0 <= 2.2.5.
Il problema è risolto in Apache MINA 2.0.28, 2.1.11 e 2.2.6 applicando la allowlist dei nomi delle classi più precocemente.
Sono interessate le applicazioni che utilizzano Apache MINA e chiamano `IoBuffer.getObject()`.
Si consiglia agli utenti di applicazioni basate su Apache MINA di effettuare l'aggiornamento.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.