Apache UIMA Java SDK <3.5.0 反序列化漏洞

[y1ong]

• 漏洞编号: CVE-2023-39913
• 危害定级: 高危
• 漏洞标签: 发布预警 公开漏洞
• 披露日期: 2023-11-08
• 信息来源: https://www.oscs1024.com/cm
• 推送原因: 漏洞创建

漏洞描述

Apache UIMA 是一个用于分析非结构化内容（比如文本、视频和音频）的组件架构和软件框架实现。
由于Apache UIMA Java SDK在反序列化Java对象时没有验证数据，当应用程序中使用了Vinci 或 CasIOUtils时，攻击者可以通过发送恶意的 CAS 序列化对象执行恶意操作，导致任意代码执行。
ObjectInputFilter读取java序列化数据会严格过滤，可以通过设置全局或上下文特定的ObjectInputFilter来避免这个漏洞产生

参考链接

1. https://www.oscs1024.com/hd/MPS-8r5d-9m7h
2. https://nvd.nist.gov/vuln/detail/CVE-2023-39913
3. apache/uima-uimaj@6a8ab16
4. Drop CasAnnotationViewerApplet and CasTreeViewerApplet apache/uima-uimaj#339
5. https://lists.apache.org/thread/lw30f4qlq3mhkhpljj16qw4fot3rg7v4