Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Apache MINA 中的 ObjectSerializationDecoder 使用 Java 的原生反序列化協定來處理傳入的序列化數據，但缺乏必要的安全檢查和防禦。此漏洞允許攻擊者透過發送特製的惡意序列化資料來利用反序列化過程，從而可能導致遠端程式碼執行 （RCE） 攻擊。此問題會影響 MINA 核心版本 2.0.X、 2.1.X 和 2.2.X，並將由版本 2.0.272.1.10和 2.2.4修正。同樣重要的是要注意，只有在調用 IoBuffer#getObject（） 方法時，使用 MINA 核心庫的應用程序才會受到影響，並且在過濾器鏈中使用 ObjectSerializationCodecFactory 類添加 ProtocolCodecFilter 實例時可能會調用此特定方法。如果您的應用程式專門使用這些類別，則必須升級至最新版本的 MINA 核心程式庫。升級是不夠的：您還需要使用三個新方法之一，明確允許解碼器將在 ObjectSerializationDecoder 實例中接受的類別： /** * 接受提供的 ClassNameMatcher 符合 * 還原序列化的類別名稱，除非它們被拒絕。* * @param classNameMatcher，要使用的比對器 */ public void accept（ClassNameMatcher classNameMatcher） /** * 接受符合 * 還原序列化提供的模式的類別名稱，除非它們被拒絕。* * @param regexp Java模式標準 */ public void accept（模式模式） /** * 接受萬用字元指定的類別進行反序列化，* 除非它們被拒絕。* * @param 模式 定義的萬用字元檔名模式 * {@link org.apache.commons.io.FilenameUtils#wildcardMatch（String， String） FilenameUtils.wildcardMatch} */ public void accept（String...模式） 預設情況下，解碼器將拒絕傳入資料中將存在的*所有*類別。注意：FtpServer、SSHd 和 Vysper 子專案不受此問題影響。
    (CVE-2024-52046)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補弱點：CVE-2024-52046

critical Nessus Plugin ID 248097

版本 1.11