CVE-2024-52046

L’ObjectSerializationDecoder in Apache MINA utilizza il protocollo di deserializzazione nativo di Java per elaborare i dati serializzati in ingresso, ma manca delle necessarie verifiche e difese di sicurezza. Questa vulnerabilità consente agli attaccanti di sfruttare il processo di deserializzazione inviando dati serializzati malevoli appositamente creati, potenzialmente portando a attacchi di remote code execution (RCE).

Questo problema riguarda le versioni core di MINA 2.0.X, 2.1.X e 2.2.X, e sarà risolto con le release 2.0.27, 2.1.10 e 2.2.4.

È inoltre importante notare che un’applicazione che utilizza la libreria core di MINA sarà interessata solo se viene chiamato il metodo IoBuffer#getObject(), e questo metodo specifico viene potenzialmente invocato durante l’aggiunta di un’istanza di ProtocolCodecFilter utilizzando la classe ObjectSerializationCodecFactory nella catena dei filtri. Se la tua applicazione utilizza specificamente queste classi, devi aggiornare alla versione più recente della libreria core di MINA.

L’aggiornamento da solo non sarà sufficiente: è inoltre necessario autorizzare esplicitamente le classi che il decoder accetterà nell’istanza di ObjectSerializationDecoder, utilizzando uno dei tre nuovi metodi:

```java
/**
* Accept class names where the supplied ClassNameMatcher matches for
* deserialization, unless they are otherwise rejected.
*
* @param classNameMatcher the matcher to use
*/
public void accept(ClassNameMatcher classNameMatcher)
```

```java
/**
* Accept class names that match the supplied pattern for
* deserialization, unless they are otherwise rejected.
*
* @param pattern standard Java regexp
*/
public void accept(Pattern pattern)
```

```java
/**
* Accept the wildcard specified classes for deserialization,
* unless they are otherwise rejected.
*
* @param patterns Wildcard file name patterns as defined by
* {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch}
*/
public void accept(String... patterns)
```

Per impostazione predefinita, il decoder rifiuterà *tutte* le classi presenti nei dati in ingresso.

Nota: i sottoprogetti FtpServer, SSHd e Vysper non sono interessati da questa vulnerabilità.