CVE-2026-41635: Apache MINA: Bypass do Filtro de Nomes de Classe na Desserialização em IoBuffer
Um ramo da função AbstractIoBuffer.resolveClass() no Apache MINA não verifica a classe contra a lista de permissão de nomes de classe, o que possibilita execução de código por meio de desserialização. O fornecedor corrigiu o problema nas versões 2.0.28, 2.1.11 e 2.2.6. O aviso indica que aplicações que chamam IoBuffer.getObject() são afetadas, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve uma falha no método resolveClass() de AbstractIoBuffer no Apache MINA. Um dos dois ramos, usado para classes estáticas ou tipos primitivos, não verifica a classe contra a lista de permissão de nomes de classe. A correção do fornecedor aplica o filtro de classes aceitas antes de Class.forName() ser chamado.
Impacto
A fraqueza é classificada como CWE-502, Desserialização de Dados Não Confiáveis. O texto do aviso afirma que o contorno permite a execução de código arbitrário. A pontuação base CVSS registrada é 9,8 (crítica), com vetor de ataque pela rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto na confidencialidade, integridade e disponibilidade.
Produtos e versões afetados
As fontes listam as seguintes faixas afetadas:
- De 2.0.0 até 2.0.27, inclusive
- De 2.1.0 até 2.1.10, inclusive
- De 2.2.0 até 2.2.5, inclusive
As versões corrigidas indicadas pelo fornecedor são 2.0.28, 2.1.11 e 2.2.6. O aviso informa que são afetadas as aplicações que usam o Apache MINA e chamam IoBuffer.getObject(). O campo de correções do registro está vazio, portanto as versões corrigidas vêm do texto do fornecedor e da lista de versões afetadas.
Status de exploração
O catálogo KEV da CISA não lista esta CVE. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro SSVC indica exploração como none e automatizável como yes. O registro EPSS apresenta probabilidade de 0,00817 e percentil de 0,56713, com data registrada de 2026-10-23.
Correção e mitigação
- Atualize para o Apache MINA 2.0.28 ou posterior na linha 2.0, 2.1.11 ou posterior na linha 2.1, ou 2.2.6 ou posterior na linha 2.2, conforme recomendado pelo fornecedor.
- Faça o inventário de todas as aplicações e bibliotecas que incluem o Apache MINA, incluindo dependências transitivas, priorizando as que chamam IoBuffer.getObject().
- Até a conclusão da correção, limite a exposição de rede dos serviços que usam o Apache MINA e evite desserializar dados de origens não confiáveis.
Orientações de detecção
- Revise inventários de software e manifestos de dependências em busca de versões do Apache MINA dentro das faixas afetadas listadas.
- Monitore os logs das aplicações em busca de erros inesperados de desserialização ou atividade de carregamento de classes originada de endpoints expostos à rede.
- Verifique a versão implantada após a correção para confirmar que a versão corrigida está em uso.
Limitações das informações disponíveis
O registro disponível não inclui detalhes de prova de conceito do fornecedor, as condições exatas de exploração em sistemas implantados nem qualquer atividade de ataque observada. A data do EPSS é posterior à data de publicação, por isso seu significado deve ser verificado nos dados da fonte. As descrições de impacto vêm do texto do aviso e dos dados CVSS do registro.
Perguntas frequentes
Quais versões do Apache MINA são afetadas pela CVE-2026-41635?
As fontes listam as faixas de 2.0.0 até 2.0.27, inclusive, de 2.1.0 até 2.1.10, inclusive, e de 2.2.0 até 2.2.5, inclusive.
Qual é a versão corrigida?
O fornecedor informa que o problema foi resolvido no Apache MINA 2.0.28, 2.1.11 e 2.2.6, que aplicam a lista de permissão de nomes de classe mais cedo.
Esta vulnerabilidade está sendo explorada ativamente?
A CVE não consta no catálogo KEV da CISA, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.