Apache MINA CVE-2024-52046: Lỗi CVSS 10.0 cho phép RCE thông qua Serialization không an toàn
Apache Software Foundation (ASF) đã phát hành bản vá để giải quyết lỗ hổng nghiêm trọng nhất trong nền tảng ứng dụng mạng MINA Java có thể dẫn đến thực thi mã từ xa trong các điều kiện cụ thể.
Được theo dõi là CVE-2024-52046 , lỗ hổng này có điểm CVSS là 10.0. Nó ảnh hưởng đến các phiên bản 2.0.X, 2.1.X và 2.2.X.
"ObjectSerializationDecoder trong Apache MINA sử dụng giao thức khử tuần tự hóa gốc của Java để xử lý dữ liệu tuần tự hóa đến nhưng thiếu các biện pháp phòng thủ và kiểm tra bảo mật cần thiết", những người bảo trì dự án cho biết trong một thông báo phát hành vào ngày 25 tháng 12 năm 2024.
"Lỗ hổng này cho phép kẻ tấn công khai thác quá trình hủy tuần tự hóa bằng cách gửi dữ liệu tuần tự độc hại được thiết kế đặc biệt, có khả năng dẫn đến các cuộc tấn công thực thi mã từ xa (RCE)."
Tuy nhiên, cần lưu ý rằng lỗ hổng này chỉ có thể khai thác được nếu phương thức "IoBuffer#getObject()" được gọi kết hợp với một số lớp nhất định như ProtocolCodecFilter và ObjectSerializationCodecFactory.
Apache cho biết: "Việc nâng cấp sẽ không đủ: bạn cũng cần phải cho phép rõ ràng các lớp mà bộ giải mã sẽ chấp nhận trong phiên bản ObjectSerializationDecoder, bằng cách sử dụng một trong ba phương pháp mới".
Việc tiết lộ này được đưa ra vài ngày sau khi ASF khắc phục nhiều lỗ hổng bao gồm Tomcat ( CVE-2024-56337 ), Traffic Control ( CVE-2024-45387 ) và HugeGraph-Server ( CVE-2024-43441 ).
Đầu tháng này, Apache cũng đã sửa một lỗ hổng bảo mật nghiêm trọng trong khuôn khổ ứng dụng web Struts ( CVE-2024-53677 ) mà kẻ tấn công có thể lợi dụng để thực thi mã từ xa. Các nỗ lực khai thác tích cực đã được phát hiện kể từ đó.
Người dùng các sản phẩm này được khuyến cáo nên cập nhật cài đặt lên phiên bản mới nhất càng sớm càng tốt để bảo vệ khỏi các mối đe dọa tiềm ẩn.