Cyber ·
CVE-2026-118636: desserialização insegura no Apache MINA 3.0 com gravidade crítica
Aviso publicado em 31 de outubro de 2026 descreve falha crítica (CVSS 3.1: 9.8) de desserialização insegura no JavaNativeMessageDecoder do Apache MINA 3.0.0 até 3.0.0-M2, que pode permitir execução remota de código em aplicações expostas a pares não confiáveis.
Segundo o conteúdo disponibilizado no feed oss-sec, a falha CVE-2026-118636 foi classificada como crítica, com vetor CVSS 3.1 de 9.8 (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). As versões afetadas são Apache MINA 3.0.0 até 3.0.0-M2. Segundo o texto, o JavaNativeMessageDecoder do módulo de codec MINA 3.0 chama ObjectInputStream.readObject() sobre os bytes do quadro sem filtro de classes. Assim, uma aplicação que coloque esse decodificador diante de um par não confiável pode ficar exposta a execução remota de código por cadeia de gadgets. O trecho disponível indica que o ramo 3.0.0 estava sem suporte na época da atribuição, mas o restante do texto está truncado e não deve ser tratado como orientação completa. A Rota Nacional não corrige bibliotecas de terceiros e não resolve esse problema de engenharia. Para organizações que usam o MINA, o caminho realista é identificar as aplicações afetadas, verificar a versão em uso e seguir a orientação oficial do projeto para atualização ou mitigação. A fonte original está no feed oss-sec indicado na própria publicação e deve ser consultada para o texto completo e as versões corrigidas.
Fonte original: CVE-2026-118636: desserialização insegura no JavaNativeMessageDecoder do Apache MINA