--- title: "Apache MINA 3.0.0 から 3.0.0-M2 の codec、受信データをそのままデシリアライズして任意のコード実行のおそれ（CVE-2026-118636）: 3.0 系の修正版は出ない" url: https://n-t-p.io/worldsecurity/articles/apache-mina-3-0-javanativemessagedecoder-deserialization-rce-unfixed-2026-118636 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年10月31日 updated: 2026年10月31日 severity: 緊急 cve: CVE-2026-118636 --- # Apache MINA 3.0.0 から 3.0.0-M2 の codec、受信データをそのままデシリアライズして任意のコード実行のおそれ（CVE-2026-118636）: 3.0 系の修正版は出ない > **TL;DR:** Apache MINA 3.0.0 から 3.0.0-M2 の codec で、JavaNativeMessageDecoder が受信データをクラスの絞り込みなしでデシリアライズし、信頼できない相手に面したアプリは任意のコード実行のおそれがある（CVE-2026-118636、CVSS v3.1 9.8、Apache＝CNA の値）。3.0 系の修正版は出ず、2.2.x 系の利用が勧められている。NVD の評価は未実施、EPSS は公開直後のため未算出、KEV なし。 **要点** - Apache MINA 3.0.0 から 3.0.0-M2：codec の JavaNativeMessageDecoder がフレームのバイト列に ObjectInputStream.readObject() をクラスの絞り込みなしで呼ぶ（CWE-502）。信頼できない相手に面した場合、ガジェットチェーンで任意のコード実行のおそれ。再現は当サイトでは未実施 - CVSS v3.1 は 9.8（AV:N/AC:L/PR:N/UI:N）で Apache（CNA）の値。NVD の状態は Received で、NVD 自身の評価は未実施。EPSS は公開直後のため未算出、KEV なし、悪用の報告なし - 3.0 系の枝は活動を止めており、修正版は出さない方針。2.2.x 系の最新版（Maven 上は 2.2.10）の利用が勧められている。NVD にも unsupported-when-assigned のタグ - 自分の依存関係に mina-core の 3.0 系があるか確認し、2.2.x 系への移行を検討。移行までは信頼できない相手の入力を受けない構成にする（本記事の推定。効果は検証していない） - マイルストーン版にデコーダーが含まれるか、独自フィルターへの置き換えの効果は未確認 Apache MINA の 3.0 系（3.0.0 から 3.0.0-M2）の codec モジュールにある `JavaNativeMessageDecoder` が、受け取ったフレームのバイト列に `ObjectInputStream.readObject()` をクラスの絞り込みなしで呼ぶ問題（CVE-2026-118636、CWE-502）が、10/31 に NVD へ公開されました。信頼できない相手の前にこのデコーダーを置いたアプリケーションは、ガジェットチェーンによる任意のコード実行を受けるおそれがあります。CVSS v3.1 は 9.8（Critical）です。**3.0 系の枝は活動を止めており、修正版は出さない方針で、2.2.x 系の最新版の利用が勧められています。** ## 何が起きるか - Apache の勧告（oss-security への 10/31 の投稿、NVD の説明も同文）によると、`JavaNativeMessageDecoder` はフレームのバイト列を `ObjectInputStream.readObject()` に渡します。クラスの絞り込み（フィルター）がないため、細工したオブジェクトを送ると、クラスパス上のガジェットチェーンを通じてコードを実行されるおそれがあります。 - 条件は「このデコーダーを、信頼できない相手と通信する経路の前段に置いていること」です。NVD の評価では、ネットワーク経由・複雑さは低い・権限と利用者の操作は不要（AV:N/AC:L/PR:N/UI:N）とされています。 - 当サイトでは、悪用や再現は行っていません。実際の悪用の報告は確認できていません。CISA の KEV には載っていません（2026.10.30 版・1766 件で確認）。 ## 影響を受ける条件 | 項目 | 内容 | |---|---| | 対象 | Apache MINA 3.0.0 から 3.0.0-M2（Apache の勧告）。Maven 上のパッケージは `org.apache.mina:mina-core` | | 前提 | 3.0 系の codec の `JavaNativeMessageDecoder` を、信頼できない相手と通信する経路で使っていること | | 評価 | CVSS v3.1 は 9.8（Critical、CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）。値は Apache（CNA）が付けたもので、NVD の種別は Secondary。NVD の状態は「Received」（10/31 時点）で、NVD 自身の評価は未実施 | | 弱点の分類 | CWE-502（信頼できないデータのデシリアライズ） | | EPSS | 公開直後のため未算出（FIRST の API に該当データなし、11/1 時点） | | 修正 | 3.0 系の修正版は出ない予定。2.2.x 系の最新版の利用が勧められている | ## 修正の状況 - 勧告には「3.0.0 の枝は活動していないため、この問題を直す版は出す予定がない」とあります。NVD の記載にも `unsupported-when-assigned`（割り当て時点でサポート終了）のタグが付いています。 - 3.0 系の最後の公開版は 3.0.0-M2 です（Maven Central 上、公開は 2013 年）。2.2.x 系は新しいほうが 2.2.10 です（Maven のメタデータの更新日は 10/17）。 ## 対応として考えられること（本記事の推定） 1. 自分のアプリケーションが `mina-core` の 3.0 系を使っているか、依存関係（`mvn dependency:tree` や SBOM）で確認します。2.2.x 系を使っているだけなら、勧告の対象外です。 2. 3.0 系を使っている場合は、勧告に従い 2.2.x 系の最新版への移行を検討します。移行の工数がかかるため、それまでは `JavaNativeMessageDecoder` が信頼できない相手の入力を受けない構成にします（ネットワークの到達範囲を絞る、認証済みの相手に限る）。 3. 回避策として、フィルターを付けた独自のデコーダー（JEP 290 の `ObjectInputFilter` など）に置き換える方法が考えられますが、効果は当サイトでは検証していません。 ## 未確認の点 - 悪用の報告は確認できていません。KEV にも載っていません。 - CVSS は Apache（CNA）の値で、NVD の評価は未実施です（状態は Received）。 - 当サイトでは、デシリアライズによる実行を再現していません。ソースコードの確認も行っておらず、記載は Apache の勧告と NVD の説明に基づきます。 - 勧告の対象は「3.0.0 から 3.0.0-M2」です。公開されているマイルストーン版にこのデコーダーが含まれるかは、当サイトでは確認していません。 - 回避策の効果は検証していません。 - 日付は、NVD の公開（2026-10-31 21:16 UTC）と Apache の勧告の投稿（2026-10-31）に基づきます。 ## 出典 - [NVD CVE-2026-118636](https://nvd.nist.gov/vuln/detail/CVE-2026-118636) — NIST NVD - [oss-security: CVE-2026-118636 Apache MINA（Apache の勧告）](http://www.openwall.com/lists/oss-security/2026/10/31/3) — Openwall oss-security - [CVE.org CVE-2026-118636](https://www.cve.org/CVERecord?id=CVE-2026-118636) — CVE Program - [Maven Central mina-core メタデータ](https://repo.maven.apache.org/maven2/org/apache/mina/mina-core/maven-metadata.xml) — Maven Central - [FIRST EPSS CVE-2026-118636](https://api.first.org/data/v1/epss?cve=CVE-2026-118636) — FIRST - [CISA KEV カタログ（2026.10.30 版）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/apache-mina-3-0-javanativemessagedecoder-deserialization-rce-unfixed-2026-118636