CVE-2024-52046

요약

# Apache MINA ObjectSerializationDecoder 원격 코드 실행 취약점 Apache MINA의 ObjectSerializationDecoder는 Java의 네이티브 역직렬화 프로토콜을 사용하여 수신된 직렬화 데이터를 처리하지만, 필요한 보안 검사 및 방어 기능이 부족합니다. 이 취약점으로 인해 공격자는 특수하게 제작된 악성 직렬화 데이터를 전송하여 역직렬화 프로세스를 악용할 수 있으며, 잠재적으로 원격 코드 실행(RCE) 공격으로 이어질 수 있습니다. 이 문제는 MINA core 버전 2.0.X, 2.1.X 및 2.2.X에 영향을 미치며, 2.0.27, 2.1.10 및 2.2.4 릴리스에서 수정될 예정입니다. 또한 MINA core 라이브러리를 사용하는 애플리케이션은 `IoBuffer#getObject()` 메서드가 호출되는 경우에만 영향을 받는다는 점을 유의해야 하며, 이 특정 메서드는 필터 체인에서 `ObjectSerializationCodecFactory` 클래스를 사용하여 `ProtocolCodecFilter` 인스턴스를 추가할 때 호출될 수 있습니다. 애플리케이션이 해당 클래스를 특별히 사용하는 경우 최신 버전의 MINA core 라이브러리로 업그레이드해야 합니다. 업그레이드만으로는 충분하지 않습니다. 또한 다음 세 가지 새로운 메서드 중 하나를 사용하여 `ObjectSerializationDecoder` 인스턴스에서 디코더가 허용할 클래스를 명시적으로 허용해야 합니다: ```java /** * Accept class names where the supplied ClassNameMatcher matches for * deserialization, unless they are otherwise rejected. * * @param classNameMatcher the matcher to use */ public void accept(ClassNameMatcher classNameMatcher) /** * Accept class names that match the supplied pattern for * deserialization, unless they are otherwise rejected. * * @param pattern standard Java regexp */ public void accept(Pattern pattern) /** * Accept the wildcard specified classes for deserialization, * unless they are otherwise rejected. * * @param patterns Wildcard file name patterns as defined by * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` 기본적으로 디코더는 수신 데이터에 포함된 *모든* 클래스를 거부합니다. 참고: FtpServer, SSHd 및 Vysper 하위 프로젝트는 이 문제의 영향을 받지 않습니다.

• apache-mina-deserialization-security-assessment정보

  Apache MINA 역직렬화 위험에 대한 전문 취약점 평가 보고서, 경영진 요약, 기술적 영향, 수정 및 완화 전략 포함.