Apache Dubbo反序列化缝隙风险公告

颁布功夫 2020-02-12

缝隙编号和级别


CVE编号：CVE-2019-17564，危险级别：高危，CVSS分值：官方未评定


影响版本


2.7.0 <= Apache Dubbo <= 2.7.4

2.6.0 <= Apache Dubbo <= 2.6.7

Apache Dubbo = 2.5.x


缝隙概述


Apache Dubbo是一个散布式框架，致力于提供高机能通明化的RPC远程服务挪用规划，以及SOA服务治理规划。Apache Dubbo在现实利用场景中重要掌管解决散布式的有关需要。


Apache Dubbo存在反序列化缝隙，Apache Dubbo支持多种和谈，官方推荐使用 Dubbo 和谈，此缝隙是属于Apache Dubbo HTTP和谈中的一个反序列化缝隙，重要原因在于当Apache Dubbo启用HTTP和谈之后，Apache Dubbo在接受来自消费者的远程挪用要求的时辰存在一个不安全的反序列化行为，最终导致了远程肆意代码执行。


缝隙验证


暂无POC/EXP。


建复建议


目前厂商已颁布新版本建复缝隙，请尽快装置和利用更新：https://github.com/apache/dubbo/releases/tag/dubbo-2.7.5。


参考链接


https://www.mail-archive.com/dev@dubbo.apache.org/msg06225.html