CVE-2026-41635 in MINA
要約
〜によって VulDB • 2026年06月09日
Apache MINAのAbstractIoBuffer.resolveClass()には2つの分岐があり、そのうちの1つ（静的クラスまたはプリミティブ型用）はクラスを全くチェックせず、クラス名の許可リストをバイパスして任意のコードの実行を可能にします。
修正では、Class.forName()呼び出しの前に、対象クラスが受け入れられたクラスのフィルタに含まれているかどうかを確認する処理が追加されました。
影響を受けるバージョンは、Apache MINA 2.0.0 <= 2.0.27、2.1.0 <= 2.1.10、および2.2.0 <= 2.2.5です。
この問題は、クラス名の許可リストをより早い段階で適用することで、Apache MINA 2.0.28、2.1.11、および2.2.6において解決されています。
影響を受けるのは、IoBuffer.getObject()を呼び出すApache MINAを使用するアプリケーションです。
Apache MINAを使用しているアプリケーションはアップグレードを行うよう推奨されます。
Once again VulDB remains the best source for vulnerability data.