【漏洞通告】Apache MINA反序列化远程代码执行漏洞（CVE-2024-52046）

启明星辰安全简讯 2024-12-25 09:03

一、漏洞概述

漏洞名称	Apache MINA反序列化远程代码执行漏洞
CVE   ID	CVE-2024-52046
漏洞类型	反序列化	发现时间	2024-12-25
漏洞评分	暂无	漏洞等级	高危
攻击向量	网络	所需权限	无
利用难度	低	用户交互	无
PoC/EXP	未公开	在野利用	未发现

Apache MINA（Multipurpose Infrastructure for
Network Applications）是一个高性能的网络通信框架，旨在帮助开发人员快速构建和管理网络应用程序。

2024年12月25日，启明星辰集团VSRC监测到Apache MINA中存在一个反序列化远程代码执行漏洞（CVE-2024-52046）。

Apache MINA多个受影响版本中存在反序列化远程代码执行漏洞，由于Apache
MINA 的 ObjectSerializationDecoder 组件使用了 Java 原生反序列化协议来处理传入的序列化数据，但缺乏必要的安全检查和防御机制，攻击者可通过向受影响的应用程序发送特制的恶意序列化数据，利用不安全的反序列化过程触发该漏洞，从而可能导致远程代码执行。

二、影响范围

Apache MINA 2.0.X < 2.0.27

Apache MINA 2.1.X < 2.1.10

Apache MINA 2.2.X < 2.2.4

三、安全措施

3.1 升级版本

1.目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache MINA 2.0.X >= 2.0.27

Apache MINA 2.1.X >= 2.1.10

Apache MINA 2.2.X >= 2.2.4

下载链接：

https://mina.apache.org/downloads-mina_2_0.html

2.配置ObjectSerializationDecoder。

在升级后，还需要配置ObjectSerializationDecoder实例，以限制哪些类可以被反序列化。默认情况下，ObjectSerializationDecoder 会拒绝所有传入的类，需要使用以下方法之一来明确允许特定的类：

accept(ClassNameMatcher classNameMatcher)：使用提供的ClassNameMatcher来匹配允许反序列化的类名。

accept(Pattern pattern)：使用标准Java正则表达式来匹配允许反序列化的类名。

accept(String… patterns)：使用Apache Commons IO库中的通配符模式来匹配允许反序列化的类名。

1. 检查使用 IoBuffer#getObject() 的地方。

该漏洞仅在应用程序使用 IoBuffer#getObject() 方法，并通过 ProtocolCodecFilter 和ObjectSerializationCodecFactory 进行数据处理时才会受到影响，应确保应用程序：

l
升级到修复版本。

l
配置并限制可以通过反序列化处理的类。

l
如果不需要 getObject() 方法，避免使用它，以减少安全风险。

4.测试和验证。

修复后，测试应用程序以确保它按预期工作并且没有引入新的问题，尤其是在序列化和反序列化处理方面，并验证ObjectSerializationDecoder的配置是否正确，确保只有预期的类被允许反序列化。

3.2 临时措施

暂无。

3.3 通用建议

定期更新系统补丁，减少系统漏洞，提升服务器的安全性。

加强系统和网络的访问控制，修改防火墙策略，关闭非必要的应用端口或服务，减少将危险服务（如SSH、RDP等）暴露到公网，减少攻击面。

使用企业级安全产品，提升企业的网络安全性能。

加强系统用户和权限管理，启用多因素认证机制和最小权限原则，用户和软件权限应保持在最低限度。

启用强密码策略并设置为定期修改。

3.4 参考链接

https://nvd.nist.gov/vuln/detail/CVE-2024-52046

https://seclists.org/oss-sec/2024/q4/177