Linux Distros 未修補的弱點：CVE-2024-52046
critical Nessus Plugin ID 248097
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，廠商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- Apache MINA 中的 ObjectSerializationDecoder 使用 Java 的原生反序列化協定來處理傳入的序列化數據，但缺乏必要的安全檢查和防禦。此漏洞允許攻擊者透過發送特製的惡意序列化資料來利用反序列化過程，從而可能導致遠端程式碼執行 （RCE） 攻擊。此問題會影響 MINA 核心版本 2.0.X、 2.1.X 和 2.2.X，並將由版本 2.0.272.1.10和 2.2.4修正。同樣重要的是要注意，只有在調用 IoBuffer#getObject（） 方法時，使用 MINA 核心庫的應用程序才會受到影響，並且在過濾器鏈中使用 ObjectSerializationCodecFactory 類添加 ProtocolCodecFilter 實例時可能會調用此特定方法。如果您的應用程式專門使用這些類別，則必須升級至最新版本的 MINA 核心程式庫。升級是不夠的：您還需要使用三個新方法之一，明確允許解碼器將在 ObjectSerializationDecoder 實例中接受的類別： /** * 接受提供的 ClassNameMatcher 符合 * 還原序列化的類別名稱，除非它們被拒絕。* * @param classNameMatcher，要使用的比對器 */ public void accept（ClassNameMatcher classNameMatcher） /** * 接受符合 * 還原序列化提供的模式的類別名稱，除非它們被拒絕。* * @param regexp Java模式標準 */ public void accept（模式模式） /** * 接受萬用字元指定的類別進行反序列化，* 除非它們被拒絕。* * @param 模式 定義的萬用字元檔名模式 * {@link org.apache.commons.io.FilenameUtils#wildcardMatch（String， String） FilenameUtils.wildcardMatch} */ public void accept（String...模式） 預設情況下，解碼器將拒絕傳入資料中將存在的*所有*類別。注意：FtpServer、SSHd 和 Vysper 子專案不受此問題影響。
(CVE-2024-52046)
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
Plugin 詳細資訊
嚴重性: Critical
ID: 248097
檔案名稱: unpatched_CVE_2024_52046.nasl
版本: 1.9
類型: Local
代理程式: unix
系列: Misc.
已發布: 2025/8/11
已更新: 2026/6/24
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus
風險資訊
VPR
風險因素: High
分數: 7.4
CVSS v3
風險因素: Critical
基本分數: 9.8
時間性分數: 9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
CVSS 評分資料來源: CVE-2024-52046
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:25.04, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:mina2, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:16.04:-:lts, p-cpe:/a:debian:debian_linux:mina, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:mina, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:mina2, cpe:/o:debian:debian_linux:12.0, cpe:/o:canonical:ubuntu_linux:26.04:-:lts
必要的 KB 項目: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2024/12/25
參考資訊
CVE: CVE-2024-52046