CVE-2026-41409: Apache MINA: desserialização de dados não confiáveis (CWE-502)
A CVE-2026-41409 é uma fraqueza CWE-502 em AbstractIoBuffer.getObject() do Apache MINA. Segundo o registro, a correção anterior para a CVE-2024-52046 ficou incompleta, pois a lista de permissões de classes foi aplicada tarde demais. A CNA atribuiu pontuação CVSS 9.8, e o registro indica as versões corrigidas 2.0.28, 2.1.11 e 2.2.6.
Visão geral
A Apache MINA publicou a CVE-2026-41409, uma fraqueza de desserialização CWE-502 em AbstractIoBuffer.getObject(). Segundo o registro, a correção anterior para a CVE-2024-52046 ficou incompleta: a lista de permissões de nomes de classes foi aplicada tarde demais, depois que um inicializador estático de uma classe a ser lida poderia já ter sido executado. A CNA atribuiu pontuação CVSS 9.8.
Impacto
O registro indica que a lista de permissões pode ser aplicada tarde demais, de modo que a proteção pretendida para a desserialização pode não funcionar a tempo. A pontuação CVSS da CNA e os dados SSVC do registro classificam o impacto técnico como total. As consequências concretas dependem da aplicação e não são detalhadas no registro.
Produtos e versões afetadas
- Apache MINA de 2.0.0 até 2.0.27 inclusive, corrigido em 2.0.28
- Apache MINA de 2.1.0 até 2.1.10 inclusive, corrigido em 2.1.11
- Apache MINA de 2.2.0 até 2.2.5 inclusive, corrigido em 2.2.6
- As aplicações que chamam IoBuffer.getObject() são as descritas como afetadas.
Status de exploração
Os dados do CISA KEV no registro não listam esta CVE, portanto não há exploração ativa declarada. Nenhuma exploração confirmada aparece nas fontes consultadas. Os dados SSVC indicam exploração como none e automatizável como yes, e o registro traz probabilidade EPSS de 0.00752.
Correção e mitigação
- Atualize o Apache MINA para 2.0.28, 2.1.11 ou 2.2.6, conforme o ramo em uso, como recomendado pelo aviso.
- Faça um inventário das aplicações e dos manifestos de dependências que incluem o Apache MINA e identifique quais chamam IoBuffer.getObject().
- O registro não descreve outras medidas paliativas. Limitar a entrada não confiável que alcança caminhos de desserialização de objetos é uma medida defensiva geral (inferência).
Orientação para detecção
- Revise inventários de software e artefatos de build em busca de versões do Apache MINA nas faixas afetadas.
- Monitore logs de aplicações em busca de erros inesperados de desserialização ou carregamento incomum de classes em componentes que usam essa API (inferência, com base em boas práticas gerais).
Limitações das informações disponíveis
- A lista de correções do registro está vazia, por isso as versões corrigidas acima vêm do texto da descrição.
- O registro não descreve a mecânica da exploração nem uma prova de conceito, e não confirma se versões fora dos ramos listados são afetadas.
- A explorabilidade de cada implantação depende do uso de IoBuffer.getObject(), o que o registro não avalia.
Perguntas frequentes
Quais versões do Apache MINA são afetadas pela CVE-2026-41409?
Segundo o registro, são afetadas as versões de 2.0.0 até 2.0.27 inclusive, de 2.1.0 até 2.1.10 inclusive e de 2.2.0 até 2.2.5 inclusive.
Quais versões corrigem o problema?
A descrição informa que o problema é resolvido no Apache MINA 2.0.28, 2.1.11 e 2.2.6, ao aplicar a lista de permissões de classes mais cedo.
Esta CVE é conhecida por ser explorada na natureza?
Não. Os dados do CISA KEV no registro não listam esta CVE, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.