CVE-2023-39913

Etibarsız məlumatların deserializasiyası, düzgün olmayan giriş yoxlaması zəifliyi Apache UIMA Java SDK, Apache UIMA Java SDK, Apache UIMA Java SDK, Apache UIMA Java SDK-da. Bu problem Apache UIMA Java SDK: 3.5.0-dan əvvəlki versiyalara təsir edir. İstifadəçilərə problemi aradan qaldıran 3.5.0 versiyasına yüksəltmə tövsiyə olunur. Kodda seriyalaşdırılmış Java obyektlərinin məlumatlar yoxlanılmadan deserializasiya edildiyi bir neçə yer var. Bu xüsusilə aşağıdakılara təsir edir: * Java ilə seriyalaşdırılmış CAS-ın deserializasiyası, həmçinin CasIOUtils sinfindən istifadə edərək TSI məlumatlarını ehtiva edən digər binar CAS formatları; * məlumatları yükləmək üçün CasIOUtils sinfindən istifadə edən CAS Editor Eclipse plaqini; * şəbəkə bağlantıları üzərindən Java ilə seriyalaşdırılmış CAS obyektlərini qəbul edə bilən Vinci Analysis Engine xidmətinin Java ilə seriyalaşdırılmış CAS-ının deserializasiyası; * CasAnnotationViewerApplet və CasTreeViewerApplet; * CPE modulunun yoxlama nöqtəsi (checkpointing) funksiyası. Qeyd edək ki, UIMA freymvorku defolt olaraq bu problemə həssas olacaq heç bir uzaqdan əlçatan xidmət (yəni Vinci) başlatmır. İstifadəçi və ya tərtibatçı belə bir xidməti başlatmaq üçün aktiv seçim etməlidir. Bununla belə, istifadəçilər və ya tərtibatçılar seriyalaşdırılmış CAS məlumatlarını analiz etmək üçün öz tətbiq və xidmətlərində CasIOUtils-dən istifadə edə bilərlər. Onlar CasIOUtils-ə ötürülən məlumatların seriyalaşdırılmış Java obyekti olmadığına əmin olmadıqca bu problemdən təsirlənirlər. Vinci-dən istifadə edərkən və ya öz xidmət/tətbiqlərində CasIOUtils-dən istifadə edərkən Java ilə seriyalaşdırılmış CAS fayllarının məhdudiyyətsiz deserializasiyası ixtiyari (uzaqdan) kodun icrasına imkan verə bilər. Çarə olaraq, UIMA-nı dəstəkləyən Java versiyasında işlədirsinizsə, qlobal və ya kontekstə xas ObjectInputFilter quraşdırmaq mümkündür (bax: https://openjdk.org/jeps/290 və https://openjdk.org/jeps/415). Qeyd edək ki, Java 1.8 ObjectInputFilter-i dəstəkləmir, buna görə də dəstəkdən çıxmış bu platformada işləyərkən heç bir çarə yoxdur. Bu problemdən təsirlənən UIMA versiyasını qorumaq lazımdırsa, yeni Java versiyasına yüksəltmə qətiyyətlə tövsiyə olunur. Java 9+ platformasında problemi yumşaltmaq üçün ayırıcı kimi nöqtəli vergüldən istifadə edərək "jdk.serialFilter" sistem xassəsi vasitəsilə filtr nümunəsi konfiqurasiya edə bilərsiniz: Java ilə seriyalaşdırılmış binar CAS-ların deserializasiyasına icazə vermək üçün sinifləri əlavə edin: * org.apache.uima.cas.impl.CASCompleteSerializer * org.apache.uima.cas.impl.CASMgrSerializer * org.apache.uima.cas.impl.CASSerializer * java.lang.String CPE Checkpoint məlumatlarının deserializasiyasına icazə vermək üçün aşağıdakı sinifləri (və tətbiqinizin yoxlama nöqtələrini saxlamaq üçün istifadə etdiyi hər hansı fərdi sinifləri) əlavə edin: * org.apache.uima.collection.impl.cpm.CheckpointData * org.apache.uima.util.ProcessTrace * org.apache.uima.util.impl.ProcessTrace_impl * org.apache.uima.collection.base_cpm.SynchPoint Filtr nümunəsində sadalanmayan heç bir sinfin deserializasiyasına icazə verməmək üçün son komponent kimi "!*" istifadə etdiyinizə əmin olun. Apache UIMA 3.5.0, gözlənilən məlumat növündən asılı olaraq Java ilə seriyalaşdırılmış məlumatları oxuyarkən ciddi şəkildə məhdudlaşdırılmış ObjectInputFilter-lərdən istifadə edir. Bu versiyada qlobal filtrin konfiqurasiyası lazım deyil.