CVE-2024-52046

Zusammenfassung

Der ObjectSerializationDecoder in Apache MINA verwendet Javas natives Deserialisierungsprotokoll, um eingehende serialisierte Daten zu verarbeiten, entbehrt jedoch der notwendigen Sicherheitsprüfungen und -abwehrmaßnahmen. Diese Schwachstelle ermöglicht es Angreifern, den Deserialisierungsprozess auszunutzen, indem sie speziell konstruierte, bösartige serialisierte Daten senden, was potenziell zu Remote-Code-Execution-Angriffen (RCE) führen kann. Dieses Problem betrifft die MINA-Core-Versionen 2.0.X, 2.1.X und 2.2.X und wird durch die Releases 2.0.27, 2.1.10 und 2.2.4 behoben. Es ist auch wichtig zu beachten, dass eine Anwendung, die die MINA-Core-Bibliothek verwendet, nur betroffen ist, wenn die Methode `IoBuffer#getObject()` aufgerufen wird, und diese spezifische Methode potenziell aufgerufen wird, wenn eine `ProtocolCodecFilter`-Instanz unter Verwendung der Klasse `ObjectSerializationCodecFactory` in der Filterkette hinzugefügt wird. Wenn Ihre Anwendung speziell diese Klassen verwendet, müssen Sie auf die neueste Version der MINA-Core-Bibliothek aktualisieren. Das Aktualisieren allein reicht jedoch nicht aus: Sie müssen außerdem explizit die Klassen zulassen, die der Decoder in der `ObjectSerializationDecoder`-Instanz akzeptieren soll, indem Sie eine der drei neuen Methoden verwenden: ```java /** * Accept class names where the supplied ClassNameMatcher matches for * deserialization, unless they are otherwise rejected. * * @param classNameMatcher the matcher to use */ public void accept(ClassNameMatcher classNameMatcher) /** * Accept class names that match the supplied pattern for * deserialization, unless they are otherwise rejected. * * @param pattern standard Java regexp */ public void accept(Pattern pattern) /** * Accept the wildcard specified classes for deserialization, * unless they are otherwise rejected. * * @param patterns Wildcard file name patterns as defined by * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` Standardmäßig lehnt der Decoder *alle* Klassen ab, die in den eingehenden Daten vorhanden sind. Hinweis: Die Unterprojekte FtpServer, SSHd und Vysper sind von diesem Problem nicht betroffen.