• 我的位置：
  • 首頁
  • -
  • 漏洞預(yù)警
  • -
  • 其他
  • -
    • Apache Dubbo 遠(yuǎn)程代碼執(zhí)行漏洞
    • CNNVD編號：未知
    • 危害等級： 中危 
    • CVE編號：CVE-2021-30179
    • 漏洞類型： 遠(yuǎn)程代碼執(zhí)行
    • 威脅類型：遠(yuǎn)程
    • 廠       商：未知
    • 漏洞來源：深信服
    • 發(fā)布時(shí)間：2021-06-03
    • 更新時(shí)間：2021-06-03

    漏洞簡介

    1、組件介紹

    Apache Dubbo是一款高性能、輕量級的開源java RPC分布式服務(wù)框架。核心功能有面向接口的遠(yuǎn)程過程調(diào)用、集群容錯(cuò)和負(fù)載均衡、服務(wù)自動(dòng)注冊與發(fā)現(xiàn)。其特點(diǎn)主要在以下幾個(gè)方面。使用分層的架構(gòu)模式，使得各個(gè)層次之間實(shí)現(xiàn)最大限度的解耦。將服務(wù)抽象為服務(wù)提供者與服務(wù)消費(fèi)者兩個(gè)角色。

    2、漏洞描述

    2021年5月31日，深信服安全團(tuán)隊(duì)監(jiān)測到一則Apache Dubbo組件存在遠(yuǎn)程代碼執(zhí)行漏洞的信息，漏洞編號：CVE-2021-30179，漏洞威脅等級：中危。

    該漏洞是由于Dubbo在通用過濾器中未對傳入的反序列化數(shù)據(jù)進(jìn)行嚴(yán)格的過濾，攻擊者可利用該漏洞在未授權(quán)的情況下，構(gòu)造惡意數(shù)據(jù)執(zhí)行遠(yuǎn)程代碼攻擊，最終接管服務(wù)器。

    漏洞公示

    暫無

    參考網(wǎng)站

    暫無

    受影響實(shí)體

    Apache Dubbo 作為一款高性能、輕量級的開源 Java 服務(wù)框架，當(dāng)前可能受漏洞影響的資產(chǎn)廣泛分布于世界各地，國內(nèi)主要集中在廣東、江蘇、河北等省份地區(qū)。


    目前受影響的Apache Dubbo版本：

    Apache Dubbo 2.7.0 - 2.7.9

    Apache Dubbo 2.6.0 - 2.6.9

    Apache Dubbo 2.5.x（官方不再維護(hù)）

    補(bǔ)丁

    1、如何檢測組件版本

    搭建Apache Dubbo本地Maven管理環(huán)境，查詢配置文件pom.xmlRevision字段，該字段為Apache Dubbo對應(yīng)版本號：


    2、官方修復(fù)建議

    當(dāng)前Apache Dubbo官方已發(fā)布最新版本，建議受影響的用戶及時(shí)更新升級到最新版本。鏈接如下：

    https://github.com/apache/dubbo/releases