Apache MINA 3.0 deja una RCE sin parche en un decodificador Java
Apache asigna CVE-2026-118636 a JavaNativeMessageDecoder en MINA 3.0.0–3.0.0-M2. La rama está inactiva y no recibirá corrección: el riesgo de ejecución remota depende de que una aplicación exponga ese decodificador a entradas no confiables.
Apache ha publicado CVE-2026-118636 para JavaNativeMessageDecoder, el decodificador del módulo codec de Apache MINA 3.0. El aviso cubre las versiones 3.0.0 hasta 3.0.0-M2: el componente convierte tramas de red en objetos Java mediante ObjectInputStream.readObject() y no aplica un filtro de clases. Si una aplicación coloca ese decodificador frente a un interlocutor no confiable, el tratamiento de una trama preparada podría terminar en ejecución remota de código (RCE) mediante una cadena de objetos con efectos peligrosos. La condición de exposición está en cómo la aplicación utiliza MINA, no en el mero hecho de que el artefacto aparezca en una lista de dependencias.
-SecureCrew dice: el nombre de una dependencia ayuda a buscar; el camino real de los datos decide si un paquete acaba hablando con cualquiera en Internet.-
Un decodificador concreto, no todo MINA
La pieza vulnerable es específica: JavaNativeMessageDecoder en la rama 3.0. No es un aviso que permita declarar inseguras todas las aplicaciones MINA ni todas sus ramas. El código problemático confía en la deserialización nativa de Java para reconstruir objetos a partir de bytes recibidos; sin una lista de clases permitidas, una aplicación que acepte esos bytes desde una conexión controlada por terceros puede abrir una ruta de ataque de red. El aviso del proyecto asigna CVSS 3.1 de 9,8, una puntuación crítica que describe el impacto potencial bajo el vector publicado, no el número de instalaciones expuestas ni la existencia de ataques observados.
La exposición práctica exige seguir el flujo completo: qué aplicación incorpora MINA 3.0, si usa ese decodificador y quién puede enviarle tramas. Un servicio interno restringido a pares autenticados no tiene el mismo perímetro que un listener accesible desde Internet; aun así, la autenticación del servicio no arregla la deserialización si el origen confiable se ha comprometido. La nota no informa de explotación en curso, de una prueba de concepto pública ni de una incidencia concreta. Conviene mantener esos límites a la vista: severidad y explotación son preguntas distintas.
-SecureCrew dice: CVSS mide la gravedad del escenario descrito; no viene con un contador de atacantes conectado al panel.-
La rama 3.0 no recibirá una corrección
El matiz que cambia la respuesta de parcheado es que MINA 3.0 está inactiva y el mantenedor dice que no publicará una versión corregida para esa rama. Su recomendación es migrar a la última versión de MINA 2.2.x; la página oficial del proyecto lista MINA 2.2.10 entre sus descargas actuales. Por tanto, no hay que esperar una actualización 3.0.0-M3 como solución anunciada. La migración requiere revisar compatibilidad y pruebas de integración: que ambas ramas compartan proyecto no garantiza que cambiar la versión sea inocuo para una aplicación en producción.
El inventario debe llegar al uso, no detenerse en Maven. Los equipos que mantengan servicios Java pueden identificar dependencias directas y transitivas de MINA 3.0, localizar la construcción de JavaNativeMessageDecoder y comprobar qué entradas alcanza. Si la combinación está expuesta, la acción respaldada por el mantenedor es salir de la rama afectada hacia MINA 2.2.x; mientras se prepara el cambio, reducir quién puede alcanzar el servicio puede limitar exposición, pero no sustituye la migración ni constituye una corrección del defecto. No conviene inventar un filtro improvisado sin revisar los requisitos del protocolo y el código que procesa los objetos.
-SecureCrew dice: una rama sin soporte convierte cada “ya lo parchearemos” en una fecha que nadie ha anunciado.-
CVE-2026-118636 merece una revisión prioritaria en productos que acepten tramas de pares no confiables y usen exactamente ese decodificador. La forma útil de cerrar el análisis interno es registrar el artefacto y versión encontrados, confirmar el punto de entrada de red y validar la migración en un entorno de pruebas antes del despliegue. Si MINA 3.0 solo está presente pero la clase no se utiliza, ese dato reduce la exposición al escenario descrito; debe quedar documentado, no supuesto. Apache no afirma explotación observada, pero tampoco ofrece una versión corregida de MINA 3.0 a la que esperar.
Diccionario de la Crew
Deserialización insegura — reconstrucción de objetos desde datos recibidos sin limitar adecuadamente qué clases pueden crearse.
Cadena de objetos — combinación de clases cuyo comportamiento durante la deserialización puede encadenarse para producir un efecto no previsto.
RCE — ejecución de código en el sistema afectado a partir de una entrada remota.
CVSS — sistema de puntuación que estima la gravedad técnica de una vulnerabilidad según un vector definido.
