Mina
Уязвимости
3
Эксплуатируемые
0
Макс. CVSS
10
Макс. EPSS
0.23932
Распределение по критичности
Критический
1
Высокий
0
Средний
2
Низкий
0
Также сопоставлено как (исходные строки): mina
Топ уязвимостей
CVE-2024-52046ObjectSerializationDecoder в Apache MINA использует нативный протокол десериализации Java для обработки
входящих сериализованных данных, но не имеет необходимых проверок безопасности и защит. Эта уязвимость позволяет
атакующим использовать процесс десериализации, отправляя специально подготовленные вредоносные сериализованные данные,
что потенциально может привести к атакам удаленного выполнения кода (RCE).
Эта проблема затрагивает основные версии MINA 2.0.X, 2.1.X и 2.2.X и будет исправлена в версиях 2.0.27, 2.1.10 и 2.2.4.
Важно также отметить, что приложение, использующее библиотеку MINA core, будет затронуто, только если метод IoBuffer#getObject() вызывается, и этот конкретный метод может быть вызван при добавлении экземпляра ProtocolCodecFilter с использованием класса ObjectSerializationCodecFactory в цепочке фильтров. Если ваше приложение конкретно использует эти классы, вам необходимо обновить до последней версии библиотеки MINA core.
Обновление будет недостаточно: вам также нужно явно разрешить классы, которые декодер будет принимать в экземпляре ObjectSerializationDecoder, используя один из трех новых методов:
/**
* Принимать имена классов, где предоставленный ClassNameMatcher соответствует
* десериализации, если они не были отклонены.
*
* @param classNameMatcher матчеры для использования
*/
public void accept(ClassNameMatcher classNameMatcher)
/**
* Принимать имена классов, которые соответствуют предоставленному шаблону для
* десериализации, если они не были отклонены.
*
* @param pattern стандартное регулярное выражение Java
*/
public void accept(Pattern pattern)
/**
* Принимать указанные классы wildcard для десериализации,
* если они не были отклонены.
*
* @param patterns Шаблоны имен файлов wildcard, как определено
* {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch}
*/
public void accept(String... patterns)
По умолчанию декодер будет отклонять *все* классы, которые будут присутствовать в входящих данных.
Примечание: подпроекты FtpServer, SSHd и Vysper не затронуты этой проблемой.
CVE-2019-0231Обработка сообщения close_notify SSL/TLS не приводит к закрытию соединения, что приводит к тому, что сервер сохраняет сокет открытым, и клиент потенциально может получать текстовые сообщения в чистом виде впоследствии. Смягчение: пользователям 2.0.20 следует перейти на 2.0.21, пользователи 2.1.0 следует перейти на 2.1.1. Эта проблема затрагивает: Apache MINA.
CVE-2021-41973В Apache MINA специально созданный, неправильно сформированный HTTP-запрос может привести к бесконечному зацикливанию декодера HTTP-заголовка. Декодер предполагал, что HTTP-заголовок начинается в начале буфера, и зацикливается, если данных больше, чем ожидалось. Пожалуйста, обновите MINA до версии 2.1.5 или выше.