CVE-2023-42809

Redisson, Netty çerçevesini kullanan bir Java Redis istemcisidir. Versiyon 3.22.0 öncesinde, Redis sunucusundan alınan bazı mesajlar, istemcinin daha fazla doğrulama yapmadan serisizleştirdiği Java nesneleri içermektedir. İstemcileri kötü amaçlı bir sunucuyla iletişim kurmaya ikna etmeyi başaran saldırganlar, yanıtlarına özel olarak hazırlanmış nesneler ekleyebilir ve bu nesneler istemci tarafından serisizleştirildiğinde rastgele kod çalıştırılmasına neden olabilir. Bu durum, istemcinin çalıştığı makinenin kontrolünün ele geçirilmesi için kötüye kullanılabilir. Versiyon 3.22.0, bu sorun için bir yama içermektedir. Yama sonrası bazı tavsiyeler mevcuttur. `setRegistrationRequired(false)` çağrısı nedeniyle hala rastgele nesne serisizleştirmesine karşı savunmasız olduğu için deserialization codec olarak `Kryo5Codec` kullanmayın. Aksine, `KryoCodec` kullanımı güvenlidir. `SerializationCodec` üzerine uygulanan düzeltme yalnızca isteğe bağlı bir sınıf adı izin listesi eklenmesinden oluşmaktadır; ancak bu davranışın varsayılan hale getirilmesi önerilir. Serisizleştirme için izin verilen sınıfları kısıtlamak amacıyla lütfen `SerializationCodec(ClassLoader classLoader, Set<String> allowedClasses)` yapılandırıcıyı kullanarak `SerializationCodec` örneği oluşturun.