严重 Apache Dubbo Provider dubbo协议反序列化漏洞
CVE编号
CVE-2020-1948利用情况
EXP 已公开补丁情况
官方补丁披露时间
2020-07-15漏洞描述
Apache Dubbo是一款应用广泛的Java RPC分布式服务框架。Apache Dubbo于2020年6月23日披露在Dubbo Provider中存在一个反序列化远程代码执行漏洞（CVE-2020-1948），攻击者可以构造并发送带有恶意参数负载的RPC请求，当恶意参数被反序列化时将导致远程代码执行。阿里云应急响应中心提醒Apache Dubbo用户尽快采取安全措施阻止漏洞攻击。解决建议
1. 建议将Dubbo升级至安全版本。下载地址参考 https://github.com/apache/dubbo/releases/tag/dubbo-2.7.72. 禁止将Dubbo服务端端口开放给公网，或仅仅只对能够连接至Dubbo服务端的可信消费端IP开放。3. Dubbo协议默认采用Hessian作为序列化反序列化方式，该反序列化方式存在反序列化漏洞。在不影响业务的情况下，建议更换协议以及反序列化方式。具体更换方法可参考：http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html
参考链接 |
|
|---|---|
| https://lists.apache.org/thread.html/rbaa41711b3e7a8cd20e9013737423ddd079ddc1... | |
| https://nsfocusglobal.com/apache-dubbo-remote-code-execution-vulnerability-cv... |
受影响软件情况
| # | 类型 | 厂商 | 产品 | 版本 | 影响面 | ||||
| 1 | |||||||||
|---|---|---|---|---|---|---|---|---|---|
| 运行在以下环境 | |||||||||
| 应用 | apache | dubbo | * | From (including) 2.5.0 | Up to (including) 2.5.10 | ||||
| 运行在以下环境 | |||||||||
| 应用 | apache | dubbo | * | From (including) 2.6.0 | Up to (including) 2.6.7 | ||||
| 运行在以下环境 | |||||||||
| 应用 | apache | dubbo | * | From (including) 2.7.0 | Up to (including) 2.7.6 | ||||
- 攻击路径 远程
- 攻击复杂度 容易
- 权限要求 无需权限
- 影响范围 全局影响
- EXP成熟度 EXP 已公开
- 补丁情况 官方补丁
- 数据保密性 数据泄露
- 数据完整性 传输被破坏
- 服务器危害 服务器失陷
- 全网数量 N/A
| CWE-ID | 漏洞类型 |
| CWE-502 | 可信数据的反序列化 |
Exp相关链接
- avd.aliyun.com
版权声明
本站原创文章转载请注明文章出处及链接，谢谢合作！
评论