「漏洞通告」Apache Dubbo远程代码执行漏洞(CVE-2020-1948)

近日,Apache Dubbo公布了一个反序列化导致的远程代码执行漏洞(CVE-2020-1948)。

Apache Dubbo 是一款高性能Java RPC框架。漏洞存在于 Apache Dubbo默认使用的反序列化工具 hessian 中,攻击者可能会通过发送恶意 RPC 请求来触发漏洞,这类 RPC 请求中通常会带有无法识别的服务名或方法名,以及一些恶意的参数负载。当恶意参数被反序列化时,达到代码执行的目的。

考链接:

https://www.mail-archive.com/dev@dubbo.apache.org/msg06544.html

受影响产品版本

  • 2.7.0 <= Dubbo Version <= 2.7.6
  • 2.6.0 <= Dubbo Version <= 2.6.7
  • Dubbo 所有 2.5.x 版本(官方团队目前已不支持)

不受影响产品版本

  • Dubbo Version >= 2.7.7

解决方案

官方已经发布新版本修复了该漏洞,请受影响的用户尽快升级进行防护。

Dubbo 2.7.7下载地址:

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7

Meet The Author

Leave Comment