「Apache MINA」にRCE脆弱性 - アップデートや設定を

ネットワークアプリケーションフレームワーク「Apache MINA」に、深刻な脆弱性が明らかとなった。アップデートや安全に運用するための設定が呼びかけられている。

デシリアライズ処理を行う「ObjectSerializationDecoderクラス」に脆弱性「CVE-2024-52046」が判明したもの。

検証に問題があり、信頼できないデータをデシリアライズするため、細工したデータを送信することでリモートよりコードの実行が可能になるという。

共通脆弱性評価システム「CVSSv4.0」のベーススコアは最高値である「10.0」と評価されており、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

開発チームでは、現地時間12月24日に「同2.2.4」「同2.1.10」「同2.0.27」をリリースし、同脆弱性を修正。アップデートに加えて、あたらしいメソッドを利用し、デシリアライズが可能となるクラスを明示的に許可するよう求めている。

（Security NEXT - 2024/12/26 ）ツイート