- CNNVD編號(hào)：未知
- 危害等級(jí)： 中危
- CVE編號(hào)：CVE-2021-25641/CVE-2021-30181
- 漏洞類型： 未知
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時(shí)間：2021-06-01
- 更新時(shí)間：2021-06-01
漏洞簡(jiǎn)介
1、組件介紹
Apache Dubbo是一款高性能、輕量級(jí)的開源java RPC分布式服務(wù)框架。核心功能有面向接口的遠(yuǎn)程過程調(diào)用、集群容錯(cuò)和負(fù)載均衡、服務(wù)自動(dòng)注冊(cè)與發(fā)現(xiàn)。其特點(diǎn)主要在以下幾個(gè)方面。使用分層的架構(gòu)模式，使得各個(gè)層次之間實(shí)現(xiàn)最大限度的解耦。將服務(wù)抽象為服務(wù)提供者與服務(wù)消費(fèi)者兩個(gè)角色。
2、漏洞簡(jiǎn)介
2021年5月28日，深信服安全團(tuán)隊(duì)監(jiān)測(cè)到一則Apache Dubbo官方發(fā)布安全補(bǔ)丁的通告，共修復(fù)了2個(gè)安全漏洞。
3、漏洞描述
Apache Dubbo協(xié)議繞過漏洞（CVE-2021-25641）
簡(jiǎn)介：該漏洞由于Dubbo設(shè)置的serialization id存在繞過風(fēng)險(xiǎn)，攻擊者可利用該漏洞在未授權(quán)的情況下，偽造較簡(jiǎn)單serialization id，可以使攻擊者進(jìn)行進(jìn)一步攻擊利用。
Apache Dubbo 遠(yuǎn)程代碼執(zhí)行漏洞（CVE-2021-30181）
簡(jiǎn)介：該漏洞由于Apache Dubbo支持腳本路由功能，攻擊者可利用該漏洞在獲得權(quán)限的情況下，構(gòu)造惡意配置，插入惡意代碼，最終可獲取服務(wù)器最高權(quán)限。
漏洞公示
如何檢測(cè)組件系統(tǒng)版本
搭建Apache Dubbo本地Maven管理環(huán)境，查詢配置文件pom.xml
Revision字段，該字段為Apache Dubbo對(duì)應(yīng)版本號(hào)：
參考網(wǎng)站
受影響實(shí)體
補(bǔ)丁
官方修復(fù)建議
當(dāng)前Apache Dubbo官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級(jí)到最新版本。鏈接如下：
