CVE-2024-52046

概要

# Apache MINA の ObjectSerializationDecoder における安全でないデシリアライゼーションの脆弱性 Apache MINA の ObjectSerializationDecoder は、Java のネイティブなデシリアライゼーションプロトコルを使用して受信したシリアライズデータを処理しますが、必要なセキュリティチェックと防御が欠如しています。この脆弱性により、攻撃者は特別に細工された悪意のあるシリアライズデータを送信することでデシリアライゼーションプロセスを悪用し、リモートコード実行（RCE）攻撃につながる可能性があります。この問題は MINA core バージョン 2.0.X、2.1.X、2.2.X に影響し、リリース 2.0.27、2.1.10、2.2.4 で修正される予定です。また、MINA core ライブラリを使用するアプリケーションは、`IoBuffer#getObject()` メソッドが呼び出された場合にのみ影響を受けることに注意することが重要です。この特定のメソッドは、フィルタチェーン内で ObjectSerializationCodecFactory クラスを使用して ProtocolCodecFilter インスタンスを追加する際に呼び出される可能性があります。アプリケーションがこれらのクラスを具体的に使用している場合は、最新バージョンの MINA core ライブラリにアップグレードする必要があります。アップグレードだけでは不十分です。以下の3つの新しいメソッドのいずれかを使用して、ObjectSerializationDecoder インスタンスが受け入れるクラスを明示的に許可する必要もあります。 ```java /** * Accept class names where the supplied ClassNameMatcher matches for * deserialization, unless they are otherwise rejected. * * @param classNameMatcher the matcher to use */ public void accept(ClassNameMatcher classNameMatcher) /** * Accept class names that match the supplied pattern for * deserialization, unless they are otherwise rejected. * * @param pattern standard Java regexp */ public void accept(Pattern pattern) /** * Accept the wildcard specified classes for deserialization, * unless they are otherwise rejected. * * @param patterns Wildcard file name patterns as defined by * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` デフォルトでは、デコーダは受信データに存在する*すべての*クラスを拒否します。注：FtpServer、SSHd、Vysper のサブプロジェクトはこの問題の影響を受けません。

• apache-mina-deserialization-security-assessment情報

  Apache MINAのデシリアライゼーションリスクに関する専門的な脆弱性評価レポート。エグゼクティブサマリー、技術的影響、是正措置、緩和戦略を含みます。