CVE-2020-1948 | Apache Dubbo Provider默认反序列化远程代码执行缝隙公告
颁布功夫 2020-06-230x00 缝隙概述
|
CVE ID |
CVE-2020-1948 |
时 间 |
2020-06-23 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
Dubbo 2.7.0 - 2.7.6 Dubbo 2.6.0 - 2.6.7 Dubbo 2.5.x （官方不再守护） |
0x01 缝隙详情
Dubbo 是阿里巴巴公司开源的一款高机能、轻量级Java RPC框架，它提供了三大主题能力:面向接口的远程步骤挪用、智能容错和负载平衡,以及自动注册服务。目前已被多家大型企业网络选取，涉及阿里巴巴集团、中国人寿、中国电信、当当网、滴滴出杏注海尔和中国工商银行等。
2020年6月23日Apache官方颁布公告，建复了一个Apache Dubbo远程代码执行缝隙（CVE-2020-1948）。该缝隙源于Apache Dubbo Provider存在反序列化缝隙，攻击者能够发送带有无法识此外服务名或步骤名及某些恶意参数负载的RPC要求，当恶意参数被反序列化时将导致恶意代码执行。
该缝隙影响所有使用2.7.6或更低版本的Dubbo用户，缝隙等级为高危，宝运莱官方网站VSRC建议宽大用户进行资产自查，实时装置补丁。
0x02 措置建议
官方已颁布最新版本，下载地址：
https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7
升级参考文档：
http://dubbo.apache.org/zh-cn/docs/user/versions/version-270.html
注：为预防出现意表建议升级前做好数据备份。
0x03 有关新闻
https://meterpreter.org/cve-2020-1948-apache-dubbo-remote-code-execution-vulnerability-alert/
0x04 参考链接
https://lists.apache.org/thread.html/rd4931b5ffc9a2b876431e19a1bffa2b4c14367260a08386a4d461955%40%3Cdev.dubbo.apache.org%3E
0x05 功夫线
2020-06-23 Apache官方颁布公告
2020-06-23 VSRC颁布缝隙公告
京公网安备11010802024551号