Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Apache MINA の ObjectSerializationDecoder は、Java のネイティブの逆シリアル化プロトコルを使用して、シリアル化された受信データを処理しますが、必要なセキュリティチェックおよび防御が欠如しています。この脆弱性によって、攻撃者が特別に細工された悪意のあるシリアル化データを送信することで逆シリアル化プロセスを悪用し、リモートコード実行RCE攻撃を引き起こす可能性があります。この問題は MINA コアバージョン 2.0.X、 2.1.X 、 2.2.Xに影響を与え、リリース 2.0.27、 2.1.10 、 2.2.4で修正されます。MINAコアライブラリを使用するアプリケーションは、IoBuffer#getObject()メソッドが呼び出された場合にのみ影響を受けることに注意してください。この特定のメソッドは、フィルターチェーンでObjectSerializationCodecFactoryクラスを使用してProtocolCodecFilterインスタンスを追加する際に呼び出される可能性があります。アプリケーションが特にこれらのクラスを使用している場合、最新バージョンの MINA コアライブラリにアップグレードする必要があります。アップグレードだけでは不十分ですまた、3 つの新しいメソッドのいずれかを使用して、デコーダーが ObjectSerializationDecoder インスタンスで受け入れるクラスを明示的に許可する必要もあります /** * 提供された ClassNameMatcher が * 逆シリアル化に一致するクラス名を受け入れます。拒否されません。 * * @param classNameMatcher を使用するマッチャー */ public void accept(ClassNameMatcher classNameMatcher) /** * 入力されたパターンに一致するクラス名を、該当しない場合を含めて、逆シリアル化で受け入れます。 * * @param パターン標準 Java regexp */ public void accept(Pattern pattern) /** * ワイルドカードで指定されたクラスを逆シリアル化に対して受け入れます。* 別の方法で拒否されない限り。 * * @param パターン により定義されるワイルドカードファイル名パターン * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void acceptString... パターン デフォルトでは、 デコーダーは、受信データに存在する *すべて* クラスを拒否します。注意: FtpServer、SSHd および Vysper サブプロジェクトは、この問題の影響を受けません。
    (CVE-2024-52046)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-52046

critical Nessus プラグイン ID 248097

バージョン 1.4