🔍 CVE-2026-42778

9.8
CVSS Score
CRITICAL
2026-05-01
2026-06-17 10:48
✅ 완료

🇰🇷 한글 설명

Apache MINA의 AbstractIoBuffer.getObject() 메서드에서 클래스 이름 허용 목록(allowlist)이 너무 늦게 적용되는 보안 결함이 발견되었습니다. 이로 인해 역직렬화 과정에서 클래스의 정적 초기화자가 먼저 실행될 수 있어, 이전 취약점(CVE-2024-52046)에 대한 수정이 불완전하게 적용되었습니다.

💡 쉬운 설명

데이터를 읽어오는 과정에서 허용되지 않은 위험한 코드가 실행될 수 있는 보안 구멍이 있습니다. 공격자가 조작된 데이터를 보내면 시스템이 의도치 않은 동작을 수행할 수 있습니다.

🇺🇸 원문 (English)

The fix for CVE-2026-41409 was not applied to the 2.1.X and 2.2.X branches. Here was the original issue description: The fix for CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() was incomplete. The classname allowlist of classes allowed to be deserialized was applied too late after a static initializer in a class to be read might already have been executed. Affected versions are Apache MINA 2.1.0 <= 2.1.11, and 2.2.0 <= 2.2.6. The problem is resolved in Apache MINA 2.1.12, and 2.2.7 by applying the classname allowlist earlier. Affected are applications using Apache MINA that call IoBuffer.getObject(). Applications using Apache MINA are advised to upgrade The fix for CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() was incomplete. The classname allowlist of classes allowed to be deserialized was applied too late after a static initializer in a class to be read might already have been executed. Affected versions are Apache MINA 2.1.0 <= 2.1.110, and 2.2.0 <= 2.2.6. The problem is resolved in Apache MINA 2.1.12, and 2.2.7 by applying the classname allowlist earlier. Affected are applications using Apache MINA that call IoBuffer.getObject(). Applications using Apache MINA are advised to upgrade

📍 영향받는 시스템

Apache MINA 2.1.0 <= 2.1.11, 2.2.0 <= 2.2.6

⚔️ 공격 벡터

IoBuffer.getObject()를 호출하는 애플리케이션에 조작된 직렬화 객체를 전달하여 역직렬화 공격 수행

🛡️ 대응 방법

Apache MINA를 2.1.12 또는 2.2.7 이상의 버전으로 업그레이드

🔧 검증 코드

명령어 결과에 해당 버전 범위의 mina-core가 나타나면 취약한 버전이 설치된 상태입니다.

Shell / Script 
mvn dependency:list | grep -E 'mina-core:[21]\.(1[0-1]|2\.[0-6])'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

Apache MINA
🇰🇷 KISA(한국인터넷진흥원) 보안 권고 이 CVE에 대한 한국 공식 권고 (1건)
Apache 제품 보안 업데이트 권고 P4
📅 2026-05-06 · sec_notice
Apache MINA 라이브러리에서 데이터 역직렬화 및 원격 코드 실행 취약점이 발견되었습니다. 2.2.7 미만 및 2.1.12 미만의 영향받는 버전 사용자는 권고된 최신 버전으로 즉시 업데이트해야 합니다.
KISA 원문 →