CVE-2024-52046

ملخص

يستخدم ObjectSerializationDecoder في Apache MINA بروتوكول إلغاء التسلسل الأصلي في Java لمعالجة البيانات المتسلسلة الواردة، لكنه يفتقر إلى الفحوصات والدفاعات الأمنية اللازمة. تسمح هذه الثغرة للمهاجمين باستغلال عملية إلغاء التسلسل عن طريق إرسال بيانات متسلسلة خبيثة مصممة خصيصًا، مما قد يؤدي إلى هجمات تنفيذ التعليمات البرمجية عن بُعد (RCE). تؤثر هذه المشكلة على إصدارات MINA core 2.0.X و2.1.X و2.2.X، وسيتم إصلاحها عبر الإصدارات 2.0.27 و2.1.10 و2.2.4. من المهم أيضًا ملاحظة أن التطبيق الذي يستخدم مكتبة MINA core لن يتأثر إلا إذا تم استدعاء طريقة IoBuffer#getObject()، وهذه الطريقة المحددة قد يتم استدعاؤها عند إضافة مثيل ProtocolCodecFilter باستخدام فئة ObjectSerializationCodecFactory في سلسلة الفلاتر. إذا كان تطبيقك يستخدم هذه الفئات تحديدًا، فيجب عليك الترقية إلى أحدث إصدار من مكتبة MINA core. لن تكون الترقية كافية وحدها: تحتاج أيضًا إلى السماح صراحةً بالفئات التي سيقبلها المفكك في مثيل ObjectSerializationDecoder، باستخدام إحدى الطرق الثلاث الجديدة: ```java /** * Accept class names where the supplied ClassNameMatcher matches for * deserialization, unless they are otherwise rejected. * * @param classNameMatcher the matcher to use */ public void accept(ClassNameMatcher classNameMatcher) /** * Accept class names that match the supplied pattern for * deserialization, unless they are otherwise rejected. * * @param pattern standard Java regexp */ public void accept(Pattern pattern) /** * Accept the wildcard specified classes for deserialization, * unless they are otherwise rejected. * * @param patterns Wildcard file name patterns as defined by * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` بشكل افتراضي، سيرفض المفكك *جميع* الفئات التي ستكون موجودة في البيانات الواردة. ملاحظة: المشاريع الفرعية FtpServer وSSHd وVysper غير متأثرة بهذه المشكلة.

• apache-mina-deserialization-security-assessmentإعلامية