El proyecto Apache MINA ha publicado actualizaciones de seguridad urgentes para solucionar dos vulnerabilidades críticas que podrían permitir a los atacantes ejecutar código arbitrario en los sistemas afectados.

Se insta encarecidamente a los desarrolladores que dependan de este marco de trabajo para aplicaciones de red a que actualicen su software inmediatamente para proteger sus entornos de una posible explotación.

Los desarrolladores utilizan ampliamente Apache MINA para crear aplicaciones de red escalables y de alto rendimiento.

Debido a que gestiona flujos de datos activos entre clientes y servidores, las vulnerabilidades en el procesamiento de los datos entrantes pueden tener graves implicaciones de seguridad para las redes empresariales.

Vulnerabilidades de Apache MINA

Curiosamente, el equipo de Apache MINA ya había creado correcciones para estas vulnerabilidades específicas en una versión anterior.

Sin embargo, debido a un error en la gestión del repositorio, el código parcheado nunca se fusionó correctamente en dos ramas de lanzamiento específicas.

Los responsables del proyecto detectaron el error y ahora han publicado oficialmente las correcciones al público.

El proyecto anunció inicialmente la versión 2.0.12 en su lista de correo para desarrolladores.

No obstante, el miembro del proyecto Emmanuel Lécharny emitió rápidamente una corrección confirmando que las versiones parcheadas reales son la 2.2.7 y la 2.1.12.

La actualización de seguridad resuelve dos vulnerabilidades y exposiciones comunes (CVE) específicas relacionadas con la forma en que Apache MINA maneja los datos entrantes no confiables. Ambas vulnerabilidades derivan de procesos de deserialización inseguros.

La deserialización es el proceso mediante el cual un programa toma datos formateados para la transferencia por red (como un flujo de bytes) y los reconstruye en un objeto funcional en la memoria del ordenador.

Cuando este proceso carece de los controles de seguridad adecuados, los hackers pueden introducir código malicioso en el flujo de datos, engañando al servidor para que lo ejecute.

Las dos vulnerabilidades corregidas incluyen:

• CVE-2026-42778: Este fallo implica la deserialización de datos no confiables (CWE-502), que ocurre cuando la aplicación acepta datos de una fuente desconocida sin validarlos antes de la reconstrucción.
  
• CVE-2026-42779: Esta es una vulnerabilidad grave de Ejecución Remota de Código (RCE) encontrada en el método AbstractIoBuffer.resolveClass().

Un fallo de lógica provoca que una rama específica omita el filtro necesario acceptMatchers, lo que conduce a una deserialización completa del objeto.

Pasos de Mitigación

Estas vulnerabilidades no afectan a todas las implementaciones de Apache MINA.

El riesgo está aislado a las aplicaciones que utilizan específicamente el método AbstractIoBuffer.getObject().

Si tu aplicación utiliza este método para deserializar clases de Java enviadas por un cliente a través de la red, tu sistema es completamente vulnerable a estos ataques de ejecución remota de código.

Los administradores y desarrolladores deben revisar inmediatamente sus bases de código para determinar si utilizan el método afectado.

Para asegurar tu infraestructura, actualiza tus implementaciones de Apache MINA a las versiones 2.2.7 o 2.1.12.

Las descargas oficiales y las notas del parche están disponibles actualmente directamente en el sitio web del proyecto Apache MINA.