Каталог уязвимостей Сканер-ВС

Вернуться к списку

CVE-2024-52046

Оценки

EPSS

0.801высокий80.1%
0%20%40%60%80%100%

Процентиль: 80.1%

CVSS

10.0критический4.0
0246810

Оценка CVSS: 10.0/10

Все оценки CVSS

CVSS 4.0
10.0

Вектор: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

CVSS 3.x
9.8

Вектор: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Описание

ObjectSerializationDecoder в Apache MINA использует нативный протокол десериализации Java для обработки
входящих сериализованных данных, но не имеет необходимых проверок безопасности и защит. Эта уязвимость позволяет
атакующим использовать процесс десериализации, отправляя специально подготовленные вредоносные сериализованные данные,
что потенциально может привести к атакам удаленного выполнения кода (RCE).

Эта проблема затрагивает основные версии MINA 2.0.X, 2.1.X и 2.2.X и будет исправлена в версиях 2.0.27, 2.1.10 и 2.2.4.

Важно также отметить, что приложение, использующее библиотеку MINA core, будет затронуто, только если метод IoBuffer#getObject() вызывается, и этот конкретный метод может быть вызван при добавлении экземпляра ProtocolCodecFilter с использованием класса ObjectSerializationCodecFactory в цепочке фильтров. Если ваше приложение конкретно использует эти классы, вам необходимо обновить до последней версии библиотеки MINA core.

Обновление будет недостаточно: вам также нужно явно разрешить классы, которые декодер будет принимать в экземпляре ObjectSerializationDecoder, используя один из трех новых методов:

/**

     * Принимать имена классов, где предоставленный ClassNameMatcher соответствует

 * десериализации, если они не были отклонены.

 *

 * @param classNameMatcher матчеры для использования

 */

public void accept(ClassNameMatcher classNameMatcher)




/**

 * Принимать имена классов, которые соответствуют предоставленному шаблону для

 * десериализации, если они не были отклонены.

 *

 * @param pattern стандартное регулярное выражение Java

 */

public void accept(Pattern pattern) 





/**

 * Принимать указанные классы wildcard для десериализации,

 * если они не были отклонены.

 *

 * @param patterns Шаблоны имен файлов wildcard, как определено

 *                  {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch}

 */

public void accept(String... patterns)

По умолчанию декодер будет отклонять все классы, которые будут присутствовать в входящих данных.

Примечание: подпроекты FtpServer, SSHd и Vysper не затронуты этой проблемой.

Сканер-ВС 7 — современное решение для управления уязвимостями

Использует эту базу данных для обнаружения уязвимостей. Высокая скорость поиска, кроссплатформенность, продвинутый аудит конфигурации и гибкая фильтрация. Подходит для организаций любого масштаба.
Подробнее о Сканер-ВС 7

Источники

anchore_overridesdebiannvdubuntu

CWE

502CWE-502

Связанные уязвимости

BDU:2025-00105

Уязвимое ПО (14)

Тип: Конфигурация

Операционная система:

Характеристика: 
{  "children": [    {      "cpe_match": [        {          "cpe23uri": "cpe:2.3:a:apache:mina:*:*:*:*:*:maven:*:*",          "versionEndExcluding": "2.1.10",          "versionStartIncluding": ...

Источник: anchore_overrides

Тип: Конфигурация

Продукт: mina

Операционная система: ubuntu focal 20.04

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina

Операционная система: ubuntu oracular 24.10

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina

Операционная система: ubuntu plucky 25.04

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina

Операционная система: debian

Характеристика: 
{  "unfixed": true}

Источник: debian

Тип: Конфигурация

Продукт: mina

Операционная система: debian bookworm 12

Характеристика: 
{  "unfixed": true}

Источник: debian

Тип: Конфигурация

Продукт: mina

Операционная система: debian bullseye 11

Характеристика: 
{  "unfixed": true}

Источник: debian

Тип: Конфигурация

Продукт: mina2

Операционная система: ubuntu focal 20.04

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina2

Операционная система: ubuntu oracular 24.10

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina2

Операционная система: ubuntu plucky 25.04

Характеристика: 
{  "unfixed": true}

Источник: ubuntu

Тип: Конфигурация

Продукт: mina2

Операционная система: debian

Характеристика: 
{  "fixed": "2.2.1-4"}

Источник: debian

Тип: Конфигурация

Продукт: mina2

Операционная система: debian bookworm 12

Характеристика: 
{  "unfixed": true}

Источник: debian

Тип: Конфигурация

Продукт: mina2

Операционная система: debian bullseye 11

Характеристика: 
{  "unfixed": true}

Источник: debian

Тип: Конфигурация

Поставщик: *

Продукт: mina

Операционная система: * * *

Характеристика: 
{  "cpe_match": [    {      "cpe23uri": "cpe:2.3:a:apache:mina:*:*:*:*:*:*:*:*",      "versionEndExcluding": "2.0.27",      "versionStartIncluding": "2.0.0",      "vulnerable": true    },    {...

Источник: nvd

Конец списка