CVE-2026-41635
Açıklama
Apache MINA'nın AbstractIoBuffer.resolveClass() fonksiyonu iki dala sahiptir; bunlardan biri (statik sınıflar veya primitif türler için) sınıfı hiç kontrol etmeyerek sınıf adı izin listesini (allowlist) atlar ve rastgele kod çalıştırılmasına olanak tanır. Düzeltme, Class.forName() çağrılmadan önce sınıfın kabul edilen sınıf filtresinde mevcut olup olmadığını kontrol eder. Etkilenen sürümler Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10 ve 2.2.0 <= 2.2.5'tir. Sorun, sınıf adı izin listesinin daha erken uygulanmasıyla Apache MINA 2.0.28, 2.1.11 ve 2.2.6 sürümlerinde çözülmüştür. IoBuffer.getObject() fonksiyonunu çağıran ve Apache MINA kullanan uygulamalar etkilenmektedir. Apache MINA kullanan uygulamaların güncellemeleri yapmaları önerilir.
Nasıl düzeltilir
- apache mina2.0.28, 2.1.11, 2.2.6 ya da sonraki bir sürüm
- org.apache.mina:mina-core2.0.28, 2.1.11, 2.2.6 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache mina | 2.0.0 ≤ v < 2.0.28, 2.1.0 ≤ v < 2.1.11, 2.2.0 ≤ v < 2.2.6 | 2.0.28, 2.1.11, 2.2.6 |
| org.apache.mina:mina-coreMaven | 2.0.0 ≤ v < 2.0.28, 2.1.0 ≤ v < 2.1.11, 2.2.0 ≤ v < 2.2.6 | 2.0.28, 2.1.11, 2.2.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.