「Apache MINA」の深刻な脆弱性 - 複数ブランチで修正未反映

Javaでネットワークアプリケーションを開発するためのフレームワーク「Apache MINA」に深刻な脆弱性が明らかとなった。一部ブランチで過去の脆弱性修正が反映されていなかったもので、開発チームではあらためて修正版をリリースした。

「同2.2」「同2.1」の両ブランチにおいて過去の修正が正しく反映されておらず、信頼できないデータをデシリアライズする脆弱性「CVE-2026-42778」「CVE-2026-42779」が明らかとなったもの。

「CVE-2026-42778」は、「CVE-2026-41409」に対する修正が反映されていなかったことに起因。クラスのデシリアライズにあたり、許可リストを適用するタイミングが遅い問題が判明した。原因となった「CVE-2026-41409」に関しても、「CVE-2024-52046」に対する不十分な修正から生じていたという。

一方「CVE-2026-42779」は、「CVE-2026-41635」の修正が反映されていないことが原因だった。分岐処理のひとつで許可リストがバイパスされてしまい、任意のコードが実行されるおそれがある。

共通脆弱性評価システム「CVSSv3.1」のベーススコアはともに「9.8」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発グループは、2026年4月29日に「同2.2.7」「同2.1.12」をリリース。利用者に対してアップデートを実施するよう求めている。

（Security NEXT - 2026/05/11 ）ツイート

「Apache MINA」の深刻な脆弱性 - 複数ブランチで修正未反映

関連リンク

PR

関連記事