- Son 7 gün
- CWE-502
CVE-2026-118636
Apache MINA JavaNativeMessageDecoder güvensiz nesne serileştirme açığı (CWE-502)
- Yayımlandı
- Güncellendi
- 1 Kas 2026
- Açık yaşı
- 0 gün
- Kaydı açan
- apache
Yönetici özeti
Bu açık, saldırganların sunucu üzerinde tam kontrol elde etmesine yol açabilecek kritik düzeyde bir risk taşıyor. Etkilenen bileşen kullanılıyorsa veri kaybı, hizmet kesintisi ve itibar zararı gibi ciddi iş riskleri doğabilir. Bu nedenle öncelikli olarak envanter kontrolü yapılmalı ve etkilenen sistemler hemen değerlendirilmelidir.
ÖzetTürkçe
Apache MINA 3.0 codec modülündeki JavaNativeMessageDecoder sınıfı, çerçeve baytlarını sınıf filtresi olmadan ObjectInputStream.readObject ile işler. Bu nedenle bu bileşeni güvenilmeyen bir istemciye açık bırakan uygulamalar etkilenir. Etkilenen sürümler 3.0.0 ile 3.0.0-M2 arasındadır.
Saldırgan ne yapabilir?
Saldırgan, zararlı serileştirilmiş veri göndererek hedef sistemde gadget zinciri üzerinden uzaktan kod çalıştırabilir ve sistemin tamamını ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
**UNSUPPORTED WHEN ASSIGNED**
JavaNativeMessageDecoder in the MINA 3.0 codec module calls ObjectInputStream.readObject() on frame bytes with no class filter, so an
application that puts it in front of an untrusted peer is open to gadget-chain RCE.
As the 3.0.0 branch is inactive, we do not plan to release a version that fixes this issue.
Users are recommended to use the latest Apache MINA 2.2.X branch.
Ne yapmalı?
- Apache MINA 3.0 dalının bu açık için düzeltme sürümü bulunmamaktadır; üretici 3.0.0 dalının aktif olmadığını ve bu sorun için yeni sürüm yayınlamayacağını belirtmiştir. Genel öneri
- Üretici tavsiyesine uygun olarak Apache MINA 2.2.X dalının en son sürümüne geçiş yapın. Genel öneri
- Geçiş tamamlanana kadar JavaNativeMessageDecoder bileşeninin güvenilmeyen ağ istemcilerine erişebildiği yolları kapatın veya bu bileşeni kullanan hizmeti ağ erişim denetimleriyle yalnızca güvenilir kaynaklara sınırlandırın. Genel öneri
Ek önlemler
- Uygulamanın MINA 3.0 codec modülünü kullanıp kullanmadığını bağımlılık listelerinden kontrol edin. Genel öneri
- Java nesne serileştirme girdilerini sınıf izin listesi (allowlist) ile kısıtlayan güvenli bir yaklaşım benimseyin. Genel öneri
- Beklenmeyen Java süreç davranışları, yeni ağ bağlantıları ve alışılmadık komut çalıştırma olaylarını izleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Apache Software Foundation Apache MINA | ≥ 3.0.0, ≤ 3.0.0-M2 | – |
Kaynaklar5 kaynak
- CVE.org kaydı
- NVD kaydı
- lists.apache.org/thread.html/h76nwcrkvsffhsk2kq6cjzc6srtnty7x Üretici bülteni
- cve.org/CVERecord Üçüncü taraf
- openwall.com/lists/oss-security/2026/10/31/3 Diğer
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.