CVE-2024-52046

总结

Apache MINA 中的 ObjectSerializationDecoder 使用 Java 原生反序列化协议来处理传入的序列化数据，但缺乏必要的安全检查与防御措施。该漏洞允许攻击者通过发送特制的恶意序列化数据来利用反序列化过程，可能导致远程代码执行（RCE）攻击。此问题影响 MINA core 2.0.X、2.1.X 和 2.2.X 版本，并将在 2.0.27、2.1.10 和 2.2.4 版本中修复。还需注意，使用 MINA core 库的应用程序只有在调用 IoBuffer#getObject() 方法时才会受到影响，而该方法在向过滤器链中添加使用 ObjectSerializationCodecFactory 类的 ProtocolCodecFilter 实例时可能会被调用。如果您的应用程序专门使用了这些类，则必须升级到最新版本的 MINA core 库。仅升级还不够：您还需要使用以下三个新方法之一，在 ObjectSerializationDecoder 实例中显式允许解码器将接受的类： ```java /** * Accept class names where the supplied ClassNameMatcher matches for * deserialization, unless they are otherwise rejected. * * @param classNameMatcher the matcher to use */ public void accept(ClassNameMatcher classNameMatcher) /** * Accept class names that match the supplied pattern for * deserialization, unless they are otherwise rejected. * * @param pattern standard Java regexp */ public void accept(Pattern pattern) /** * Accept the wildcard specified classes for deserialization, * unless they are otherwise rejected. * * @param patterns Wildcard file name patterns as defined by * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String... patterns) ``` 默认情况下，解码器将拒绝传入数据中出现的*所有*类。注意：FtpServer、SSHd 和 Vysper 子项目不受此问题影响。

• apache-mina-deserialization-security-assessment信息

  专业级 Apache MINA 反序列化风险漏洞评估报告，包含执行摘要、技术影响、修复方案及缓解策略。