一、漏洞概述
|
漏洞名称
|
Apache MINA反序列化远程代码执行漏洞
|
|
CVE ID
|
CVE-2024-52046
|
|
漏洞类型
|
反序列化
|
发现时间
|
2024-12-25
|
|
漏洞评分
|
暂无
|
漏洞等级
|
高危
|
|
攻击向量
|
网络
|
所需权限
|
无
|
|
利用难度
|
低
|
用户交互
|
无
|
|
PoC/EXP
|
未公开
|
在野利用
|
未发现
|
Apache MINA（Multipurpose Infrastructure for Network Applications）是一个高性能的网络通信框架，旨在帮助开发人员快速构建和管理网络应用程序。
2024年12月25日，启明星辰集团VSRC监测到Apache MINA中存在一个反序列化远程代码执行漏洞（CVE-2024-52046）。
Apache MINA多个受影响版本中存在反序列化远程代码执行漏洞，由于Apache MINA 的 ObjectSerializationDecoder 组件使用了 Java 原生反序列化协议来处理传入的序列化数据，但缺乏必要的安全检查和防御机制，攻击者可通过向受影响的应用程序发送特制的恶意序列化数据，利用不安全的反序列化过程触发该漏洞，从而可能导致远程代码执行。
二、影响范围
Apache MINA 2.0.X < 2.0.27
Apache MINA 2.1.X < 2.1.10
Apache MINA 2.2.X < 2.2.4
三、安全措施
3.1 升级版本
1.目前该漏洞已经修复，受影响用户可升级到以下版本：
Apache MINA 2.0.X >= 2.0.27
Apache MINA 2.1.X >= 2.1.10
Apache MINA 2.2.X >= 2.2.4
https://mina.apache.org/downloads-mina_2_0.html
2.配置ObjectSerializationDecoder。
在升级后，还需要配置ObjectSerializationDecoder实例，以限制哪些类可以被反序列化。默认情况下，ObjectSerializationDecoder 会拒绝所有传入的类，需要使用以下方法之一来明确允许特定的类：
accept(ClassNameMatcher classNameMatcher)：使用提供的ClassNameMatcher来匹配允许反序列化的类名。
accept(Pattern pattern)：使用标准Java正则表达式来匹配允许反序列化的类名。
accept(String... patterns)：使用Apache Commons IO库中的通配符模式来匹配允许反序列化的类名。
3. 检查使用 IoBuffer#getObject() 的地方。
该漏洞仅在应用程序使用 IoBuffer#getObject() 方法，并通过 ProtocolCodecFilter 和ObjectSerializationCodecFactory 进行数据处理时才会受到影响，应确保应用程序：
l如果不需要 getObject() 方法，避免使用它，以减少安全风险。
修复后，测试应用程序以确保它按预期工作并且没有引入新的问题，尤其是在序列化和反序列化处理方面，并验证ObjectSerializationDecoder的配置是否正确，确保只有预期的类被允许反序列化。
3.2 临时措施
3.3 通用建议
定期更新系统补丁，减少系统漏洞，提升服务器的安全性。
加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。
加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。
3.4 参考链接
https://nvd.nist.gov/vuln/detail/CVE-2024-52046
https://seclists.org/oss-sec/2024/q4/177
原文始发于微信公众号（启明星辰安全简讯）：【漏洞通告】Apache MINA反序列化远程代码执行漏洞（CVE-2024-52046）
免责声明:文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由读者承担全部法律及连带责任，本站不承担任何法律及连带责任；如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截，联系方式见首页)，望知悉。
点赞
https://cn-sec.com/archives/3552566.html
复制链接
复制链接
-
左青龙
- 微信扫一扫
-
-
右白虎
- 微信扫一扫
-
评论