CVE-2024-46983

Versões do SOFA Hessian anteriores à 3.5.5

O protocolo SOFA Hessian utiliza um mecanismo de lista negra para restringir a desserialização de classes potencialmente perigosas, a fim de garantir a segurança. No entanto, existe uma cadeia de gadgets capaz de contornar o mecanismo de proteção da lista negra do SOFA Hessian, e essa cadeia de gadgets depende apenas do JDK, sem recorrer a componentes de terceiros.

Para resolver o problema, atualize para a versão 3.5.5 do SOFA Hessian.

Para usuários que não possam atualizar, mantenha uma lista negra no diretório external/serialize.blacklist como uma solução alternativa temporária.