CVE-2024-52046

Riepilogo

# Vulnerabilità di deserializzazione in Apache MINA ObjectSerializationDecoder in Apache MINA utilizza il protocollo di deserializzazione nativo di Java per elaborare i dati serializzati in ingresso, ma manca dei controlli di sicurezza e delle difese necessarie. Questa vulnerabilità consente agli aggressori di sfruttare il processo di deserializzazione inviando dati serializzati dannosi appositamente predisposti, con il potenziale di causare attacchi di esecuzione di codice remoto (RCE). Il problema riguarda le versioni core di MINA 2.0.X, 2.1.X e 2.2.X e verrà risolto con le release 2.0.27, 2.1.10 e 2.2.4. È inoltre importante notare che un'applicazione che utilizza la libreria core di MINA sarà interessata solo se viene chiamato il metodo `IoBuffer#getObject()`, e questo metodo specifico viene potenzialmente chiamato quando si aggiunge un'istanza di `ProtocolCodecFilter` utilizzando la classe `ObjectSerializationCodecFactory` nella catena di filtri. Se la tua applicazione utilizza specificamente queste classi, devi aggiornare all'ultima versione della libreria core di MINA. L'aggiornamento non sarà sufficiente: devi anche consentire esplicitamente le classi che il decoder accetterà nell'istanza di `ObjectSerializationDecoder`, utilizzando uno dei tre nuovi metodi: ```java /** * Accetta i nomi delle classi per cui il ClassNameMatcher fornito corrisponde * per la deserializzazione, a meno che non vengano altrimenti rifiutati. * * @param classNameMatcher il matcher da utilizzare */ public void accept(ClassNameMatcher classNameMatcher) /** * Accetta i nomi delle classi che corrispondono al pattern fornito per * la deserializzazione, a meno che non vengano altrimenti rifiutati. * * @param pattern regexp Java standard */ public void accept(Pattern pattern) /** * Accetta le classi con wildcard specificate per la deserializzazione, * a meno che non vengano altrimenti rifiutate. * * @param patterns pattern di nomi file con wildcard come definiti da * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` Per impostazione predefinita, il decoder rifiuterà *tutte* le classi che saranno presenti nei dati in ingresso. Nota: I sottoprogetti FtpServer, SSHd e Vysper non sono interessati da questo problema.