🇰🇷 한글 설명
Apache MINA의 AbstractIoBuffer.getObject() 메서드에 대한 CVE-2024-52046 수정 사항이 불완전하여 발생한 취약점입니다. 역직렬화 허용 클래스 목록(allowlist)이 적용되기 전에 특정 클래스의 정적 초기화자가 먼저 실행될 수 있어 보안 우회 가능성이 존재합니다.
💡 쉬운 설명
데이터를 읽어올 때 허용된 목록만 읽도록 하는 보안 장치가 너무 늦게 작동하는 문제입니다. 이로 인해 공격자가 허용되지 않은 위험한 코드를 실행할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
The fix for CVE-2024-52046 in Apache MINA AbstractIoBuffer.getObject() was incomplete. The classname allowlist of classes allowed to be deserialized was applied too late after a static initializer in a class to be read might already have been executed.
Affected versions are Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10, and 2.2.0 <= 2.2.5.
The problem is resolved in Apache MINA 2.0.28, 2.1.11, and 2.2.6 by
applying the classname allowlist earlier.
Affected are applications using Apache MINA that call IoBuffer.getObject().
Applications using Apache MINA are advised to upgrade
📍 영향받는 시스템
Apache MINA 2.0.0 <= 2.0.27, 2.1.0 <= 2.1.10, 2.2.0 <= 2.2.5
⚔️ 공격 벡터
IoBuffer.getObject()를 호출하는 애플리케이션에 조작된 직렬화 데이터를 전송하여 역직렬화 취약점 공격
🛡️ 대응 방법
Apache MINA를 2.0.28, 2.1.11 또는 2.2.6 이상의 버전으로 업그레이드하십시오.
🔧 검증 코드
출력된 mina-core의 버전이 취약한 범위(2.0.27 이하, 2.1.10 이하, 2.2.5 이하)에 포함되는지 확인하십시오.
mvn dependency:list | grep -E 'org.apache.mina:mina-core'