Apache MINAのcodec moduleに含まれるJavaNativeMessageDecoderにおいて、クラスフィルターを使用せずにフレームバイトに対してObjectInputStream.readObject()を呼び出す問題が存在する。これにより、信頼できないピアの前に同モジュールを配置しているアプリケーションは、ガジェットチェーンを用いたリモートコード実行（RCE）の脆弱性につながるおそれがある。なお、3.0.0ブランチは非アクティブとなっており、修正バージョンのリリース予定はない。
対象ソフト
Apache MINAは、高パフォーマンスなネットワークアプリケーションを開発するためのJava向けネットワークフレームワークである。
影響
リモートから任意のコードが実行される可能性がある。
対応策
Users are recommended to use the latest Apache MINA 2.2.X branch.
