Bảo mật
Apache MINA 3.0 dính lỗi RCE 9.8 qua deserialization và sẽ không có bản vá
CVE-2026-118636 (CVSS 9.8) nằm ở JavaNativeMessageDecoder, nơi gọi ObjectInputStream.readObject mà không lọc class, cho phép thực thi mã từ xa qua gadget chain. Lỗi ảnh hưởng các bản 3.0.0 đến 3.0.0-M2. Nhánh 3.0 đã ngừng phát triển nên sẽ không được vá; cần chuyển sang 2.2.x hoặc tắt decoder này.
Vì sao đáng chú ý
Ai đang dùng bản milestone MINA 3.0 trong hệ thống Java nên rà soát ngay vì không có bản vá để chờ.
Nguồn
- oss-security openwall.com · nguồn chính