Apache MINA 3.0にRCE脆弱性、修正版は出ない見込み
Summary
Apache MINA 3.0.0から3.0.0-M2までのコーデックに、認証なしで遠隔からコードを実行されうる脆弱性が公表されました。該当版を使っているなら、信頼できない相手に接続を開いていないかを確認し、該当のデコーダーの利用をやめてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
Apache MINA 3.0.0から3.0.0-M2までのコーデックに、認証なしで遠隔からコードを実行されうる脆弱性が公表されました。該当版を使っているなら、信頼できない相手に接続を開いていないかを確認し、該当のデコーダーの利用をやめてください。
Affected packages
| Ecosystem | Package | Affected | Fixed |
|---|---|---|---|
| Apache Software Foundation | Apache MINA |
3.0.0 – 3.0.0-M2 |
— |
Fix status by distribution
Fixed packages published by each distribution for this CVE Fixed versions differ by release; check each link.
- Ubuntu UBUNTU-CVE-2026-118636 mina
Original description The description as published by the source.
UNSUPPORTED WHEN ASSIGNED
JavaNativeMessageDecoder in the MINA 3.0 codec module calls ObjectInputStream.readObject() on frame bytes with no class filter, so an
application that puts it in front of an untrusted peer is open to gadget-chain RCE.
As the 3.0.0 branch is inactive, we do not plan to release a version that fixes this issue.
Users are recommended to use the latest Apache MINA 2.2.X branch.
Source: oss-security (Openwall) NVD GitHub Advisory