- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：CVE-2021-30180/CVE-2021-32824
- 漏洞類型： 反序列化漏洞/遠(yuǎn)程代碼執(zhí)行漏洞
- 威脅類型：遠(yuǎn)程
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2021-06-25
- 更新時間：2021-06-25
漏洞簡介
1、組件介紹
Apache Dubbo是一款高性能、輕量級的開源java RPC分布式服務(wù)框架。核心功能有面向接口的遠(yuǎn)程過程調(diào)用、集群容錯和負(fù)載均衡、服務(wù)自動注冊與發(fā)現(xiàn)。其特點(diǎn)主要在以下幾個方面：使用分層的架構(gòu)模式，使得各個層次之間實現(xiàn)最大限度的解耦；將服務(wù)抽象為服務(wù)提供者與服務(wù)消費(fèi)者兩個角色。
2、漏洞描述
近日，深信服安全團(tuán)隊監(jiān)測到一則Apache Dubbo組件存在遠(yuǎn)程代碼執(zhí)行漏洞的信息，共修復(fù)了五個安全漏洞，其中包含五個高危漏洞的信息。(其中三個漏洞千里目已經(jīng)披露，詳情見參考鏈接)
序號 | 漏洞名 | 漏洞編號 | 影響版本 | 嚴(yán)重等級 |
1 | Apache Dubbo YAML 反序列化漏洞 | CVE-2021-30180 | Apache Dubbo 2.7.0 - 2.7.9 Apache Dubbo 2.6.0 - 2.6.9 Apache Dubbo 2.5.x（官方不再維護(hù)） | 高危 |
2 | Apache Dubbo Telnet handler 遠(yuǎn)程代碼執(zhí)行漏洞 | CVE-2021-32824 | 高危 |
（1）Apache Dubbo YAML 反序列化漏洞
CVE-2021-30180
該漏洞是由于Apache Dubbo多處使用了yaml.load，攻擊者在控制如ZooKeeper注冊中心后可上傳惡意配置文件造成的。攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼攻擊，最終接管服務(wù)器。
（2）Apache Dubbo Telnet handler 遠(yuǎn)程代碼執(zhí)行漏洞
CVE-2021-32824
該漏洞是由于Apache Dubbo Telnet handler在處理相關(guān)請求時，允許攻擊者調(diào)用惡意方法造成的。攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼攻擊，最終接管服務(wù)器。
漏洞公示
暫無
參考網(wǎng)站
受影響實體
Apache Dubbo 作為一款高性能、輕量級的開源 Java 服務(wù)框架，當(dāng)前可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，國內(nèi)主要集中在浙江、廣東、北京等省份地區(qū)。
目前受影響的Apache Dubbo版本：
Apache Dubbo 2.7.0 - 2.7.9
Apache Dubbo 2.6.0 - 2.6.9
Apache Dubbo 2.5.x（官方不再維護(hù)）
補(bǔ)丁
1、如何檢測組件系統(tǒng)版本
搭建Apache Dubbo本地Maven管理環(huán)境，查詢配置文件pom.xml Revision字段，該字段為Apache Dubbo對應(yīng)版本號：
2、官方修復(fù)建議
當(dāng)前Apache Dubbo官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：
