CVE-2023-42809

Redisson, Netty freymvorkundan istifadə edən bir Java Redis klientidir. Versiya 3.22.0-dan əvvəl, Redis serverindən alınan bəzi mesajlar, klient tərəfindən əlavə yoxlama aparılmadan deserializasiya edilən Java obyektləri ehtiva edir. Klientləri zərərli serverlə əlaqə qurmağa sövq edə bilən hücumçular, cavablara xüsusi hazırlanmış obyektlər daxil edə bilərlər ki, bunlar klient tərəfindən deserializasiya edildikdə, onun ixtiyari kodu icra etməsinə səbəb olur. Bu, klientin işlədiyi maşına nəzarətin ələ keçirilməsi üçün istismar edilə bilər. Versiya 3.22.0 bu problem üçün yamı ehtiva edir. Düzəlişdən sonrakı bəzi tövsiyələr mövcuddur. Deserializasiya kodeki kimi `Kryo5Codec`-dən İSTİFADƏ ETMƏYİN, çünki o, `setRegistrationRequired(false)` çağırışı səbəbindən hələ də ixtiyari obyekt deserializasiyasına qarşı həssasdır. Əksinə, `KryoCodec`-dən istifadə etmək təhlükəsizdir. `SerializationCodec`-ə tətbiq olunan düzəliş yalnız isteğe bağlı sinif adları ağ siyahısının (allowlist) əlavə edilməsindən ibarətdir, baxmayaraq ki, bu davranışın standart hala gətirilməsi tövsiyə olunur. `SerializationCodec` nümunəsini yaradarkən, deserializasiya üçün icazə verilən sinifləri məhdudlaşdırmaq üçün `SerializationCodec(ClassLoader classLoader, Set<String> allowedClasses)` konstruktorundan istifadə edin.