关于Apache MINA反序列化远程代码执行漏洞（CVE-2024-52046）的安全预警

一、 基本情况

Apache MINA（Multipurpose Infrastructure for Network Applications）是一个高性能的网络通信框架，旨在帮助开发人员快速构建和管理网络应用程序。

二、 漏洞描述

Apache MINA中存在一个反序列化远程代码执行漏洞（CVE-2024-52046）。

Apache MINA多个受影响版本中存在反序列化远程代码执行漏洞，由于Apache MINA 的 ObjectSerializationDecoder 组件使用了 Java 原生反序列化协议来处理传入的序列化数据，但缺乏必要的安全检查和防御机制，攻击者可通过向受影响的应用程序发送特制的恶意序列化数据，利用不安全的反序列化过程触发该漏洞，从而可能导致远程代码执行。

三、 影响范围

Apache MINA 2.0.X < 2.0.27

Apache MINA 2.1.X < 2.1.10

Apache MINA 2.2.X < 2.2.4

四、 修复建议

目前该漏洞已经修复，受影响用户可升级到以下版本：

Apache MINA 2.0.X >= 2.0.27

Apache MINA 2.1.X >= 2.1.10

Apache MINA 2.2.X >= 2.2.4

下载链接：

https://mina.apache.org/downloads-mina_2_0.html

五、 参考链接

https://nvd.nist.gov/vuln/detail/CVE-2024-52046

https://seclists.org/oss-sec/2024/q4/177