Vulnerabilidad en Apache MINA de Apache Software Foundation (CVE-2026-47065)

ZDRES-232: resolveProxyClass no anulado - Omisión del filtro acceptMatchers mediante java.lang.reflect.Proxy<br /> <br /> Evaluación: Completamente abordado.<br /> <br /> Cuando el flujo serializado contiene un TC_PROXYCLASSDESC (el marcador para un java.lang.reflect.Proxy), se despacha ObjectInputStream.readProxyDesc() del JDK. El JDK luego llama a la implementación predeterminada de ObjectInputStream.resolveProxyClass(interfaces), que realiza Class.forName(intf, false, latestUserDefinedLoader()) para CADA nombre de interfaz y construye la clase proxy, omitiendo la lista de clases aceptadas.<br /> <br /> ZDRES-233: Class.forName(name, initialize=true, classLoader) en readClassDescriptor activa el inicializador estático de clases en la lista de permitidos<br /> <br /> Evaluación: Completamente abordado.<br /> <br /> Para CUALQUIER clase en la lista de permitidos, la deserialización de un flujo que la nombra activa el (inicializador estático) de la clase ANTES de que se construya cualquier instancia. Esto significa que un atacante que proporciona un nombre de clase en la lista de permitidos (por ejemplo, el desarrollador escribió accept(&amp;#39;com.myapp.*&amp;#39;), el atacante proporciona com.myapp.SomeClass) causa de SomeClass, y muchas clases del mundo real tienen inicializadores estáticos con efectos secundarios.<br /> <br /> Ambos problemas han sido solucionados.