CVE-2024-23636
Açıklama
SOFARPC bir Java RPC çerçevesidir. SOFARPC, alınan verileri serisizleştirmek için varsayılan olarak SOFA Hessian protokolünü kullanır; SOFA Hessian protokolü ise güvenlik koruması amacıyla potansiyel olarak tehlikeli sınıfların serisizleştirilmesini kısıtlamak için bir kara liste mekanizması kullanır. Ancak, 5.12.0 sürümünden önce, SOFA Hessian kara liste koruma mekanizmasını atlayabilen ve yalnızca JDK'ya dayanan, herhangi bir üçüncü taraf bileşene ihtiyaç duymayan bir gadget zinciri bulunmaktadır. 5.12.0 sürümü, bir kara liste ekleyerek bu sorunu gidermiştir. SOFARPC ayrıca ek kara listeler eklemenin bir yolunu da sunmaktadır. Kullanıcılar, bu sorundan kaçınmak için `-Drpc_serialize_blacklist_override=org.apache.xpath.` gibi bir sınıf ekleyebilirler.
Nasıl düzeltilir
- sofastack sofarpc5.12.0 ya da sonraki bir sürüm
- com.alipay.sofa:rpc-sofa-boot-starter5.12.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| sofastack sofarpc | v < 5.12.0 | 5.12.0 |
| com.alipay.sofa:rpc-sofa-boot-starterMaven | v < 5.12.0 | 5.12.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.