Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Apache MINA 中的 ObjectSerializationDecoder 使用 Java 的原生還原序列化通訊協定來處理傳入的序列化資料但缺少必要的安全性檢查和防護。此弱點允許攻擊者傳送特製的惡意序列化資料藉此惡意利用還原序列化處理程序可能導致遠端程式碼執行 (RCE) 攻擊。此問題會影響 MINA 核心版本 2.0.X、 2.1.X 和 2.2.X並將由 2.0.27、 2.1.10 和 2.2.4版本修正。另請務必注意使用 MINA 核心程式庫的應用程式只有在呼叫 IoBuffer#getObject() 方法時才會受到影響而在篩選鏈中新增使用 ObjectSerializationCodecFactory 類別的 ProtocolCodecFilter 執行個體時可能會呼叫此特定方法。如果您的應用程式專門使用這些類別您必須升級至最新版本的 MINA 核心程式庫。僅進行升級還不夠您還必須使用下列三個新方法之一在 ObjectSerializationDecoder 執行個體中明確允許解碼器將接受的類別 /** * 接受與所提供之 ClassNameMatcher 相符的類別名稱以進行還原序列化除非是否則會遭到拒絕。 * * @param classNameMatcher 要使用的比對器 */ public void accept(ClassNameMatcher classNameMatcher) /** * 除非遭到拒絕否則接受符合所提供之還原序列化模式的類別名稱。 * * @param 模式標準 Java regexp */ public void accept(Pattern Pattern) /** * 接受萬用字元指定的類別進行還原序列化* 除非這些類別遭到拒絕。 * * @param patches 由 * {@link org.apache.commons.io.FilenameUtils#wildcardMatch(String, String) FilenameUtils.wildcardMatch} */ public void accept(String...patterns) 定義的萬用字元檔案名稱模式。則解碼器將拒絕傳入資料中出現的 *所有* 類別。注意FtpServer、SSHd 和 Vysper 子專案不受此問題影響。
    (CVE-2024-52046)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補的弱點：CVE-2024-52046

critical Nessus Plugin ID 248097

版本 1.4