CVE-2026-41409 in MINA
요약
\~에 의해 VulDB • 2026. 05. 26.
CVE-2024-52046의 Apache MINA AbstractIoBuffer.getObject()에 대한 수정이 불완전했습니다. 역직렬화할 수 있는 클래스를 허용하는 클래스명 허용 목록(classname allowlist)이 적용되기 전에, 읽을 대상 클래스의 정적 초기화 블록(static initializer)이 이미 실행되었을 수 있습니다.
영향을 받는 버전은 Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10, 그리고 2.2.0 <= 2.2.5입니다.
이 문제는 Apache MINA 2.0.28, 2.1.11, 그리고 2.2.6에서 클래스명 허용 목록을 더 일찍 적용함으로써 해결되었습니다.
Apache MINA를 사용하며 IoBuffer.getObject()를 호출하는 애플리케이션이 영향을 받습니다.
Apache MINA를 사용하는 애플리케이션은 업그레이드를 권장합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.