首页 文章详情

Dubbo爆出高危漏洞!可造成远程代码执行!附解决方案

JAVA公众号 | 558 2020-07-04 23:23 0 0 0
UniSMS (合一短信)

点击上方“JAVA”,星标公众号重磅干货,第一时间送达9384848ad5b6bfeaa9895f5849fb7727.webp

0x01 漏洞背景

2020年06月23日, 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告,该漏洞编号为 CVE-2020-1948,漏洞等级:高危。Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡,以及服务自动注册和发现。Apache Dubbo Provider 存在 反序列化漏洞,攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,可以造成远程代码执行。该漏洞的相关技术细节已公开。对此,360CERT建议广大用户及时安装最新补丁,做好资产自查以及预防工作,以免遭受黑客攻击。 

0x02 风险等级

360CERT对该漏洞的评定结果如下:
  • 威胁等级:高危

  • 影响面:广泛

0x03 漏洞详情 Apache Dubbo Provider 存在 反序列化漏洞,攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,可以造成远程代码执行。 



0x04 影响版本

  • Dubbo 2.7.0 – 2.7.6

  • Dubbo 2.6.0 – 2.6.7

  • Dubbo 2.5.x (官方不再维护)

0x05 修复建议

通用修补建议:

建议广大用户及时升级到2.7.7或更高版本,下载地址为:https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7。

0x06 相关空间测绘数据

360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现Dubbo在国内均有广泛使用,具体分布如下图所示。

d8b5bc004f51861f97e046800f314412.webp

ff2d5dec4affc5ffed9ef0ebda394ed8.webp


 

0x07 产品侧解决方案

360城市级网络安全监测服务

360安全大脑的QUAKE资产测绘平台通过资产测绘技术手段,对该类漏洞进行监测,请用户联系相关产品区域负责人获取对应产品。 

0x08 时间线

2020-06-22 Apache Dubbo 官方发布通告2020-06-23 360CERT发布预警以下内容转载自安全客https://www.anquanke.com/post/id/209102
--END--


▐ 推荐


c4287ef370535e577b206b6253fd74b4.webp

公众号ID|javabaiwen

小编微信|619531440


每天分享技术干货

视频 | 电子书 | 面试题 | 开发经验

good-icon 0
favorite-icon 0
收藏
回复数量: 0
    暂无评论~~
    Ctrl+Enter