最新!Dubbo 远程代码执行漏洞通告,速度升级

Posted Java技术栈

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了最新!Dubbo 远程代码执行漏洞通告,速度升级相关的知识,希望对你有一定的参考价值。

原文来自:安全客

链接:https://www.anquanke.com/post/id/209102

0x01 漏洞背景

2020年06月23日, 360CERT监测发现 Apache 官方 发布了 Apache Dubbo 远程代码执行的风险通告,该漏洞编号为 CVE-2020-1948,漏洞等级:高危

Apache 是一款高性能、轻量级的开源Java RPC框架,它提供了三大核心能力:面向接口的远程方法调用,智能容错和负载均衡,以及服务自动注册和发现。

Apache Provider 存在反序列化漏洞,攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,可以造成远程代码执行。

该漏洞的相关技术细节已公开。

对此,360CERT建议广大用户及时安装最新补丁,做好资产自查以及预防工作,以免遭受黑客攻击。

0x02 风险等级

360CERT对该漏洞的评定结果如下

评定方式 等级
威胁等级 高危
影响面 广泛


0x03 漏洞详情


Apache Dubbo Provider 存在反序列化漏洞,攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参数有效载荷,当恶意参数被反序列化时,可以造成远程代码执行。 

0x04 影响版本


0x05 修复建议

通用修补建议:

https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7 

0x06 相关空间测绘数据


360安全大脑-Quake网络空间测绘系统通过对全网资产测绘,发现在国内均有广泛使用,具体分布如下图所示。



0x07 时间线

2020-06-22 Apache 官方发布通告

2020-06-23 360CERT发布预警

声明:本文经安全客授权发布,转载请联系安全客平台

最近热文:
1、
2、
3、
4、
5、
6、
7、
8、
9、
10、
扫码关注 Java技术栈 公众号阅读更多干货。

点击「」获取面试题大全~

以上是关于最新!Dubbo 远程代码执行漏洞通告,速度升级的主要内容,如果未能解决你的问题,请参考以下文章

注意:Apache Dubbo 远程代码执行漏洞通告!

Dubbo 存在远程代码执行漏洞

Dubbo 被曝出“高危”远程代码执行漏洞

高危!Fastjson反序列化远程代码执行漏洞风险通告,请尽快升级

Tomcat 又爆出高危漏洞!!Tomcat 8.5 ~10 中招…

高危,Fastjson反序列化远程代码执行漏洞风险通告,请尽快升级