Apache Dubbo反序列化漏洞
- CNNVD編號：未知
- 危害等級： 高危
- CVE編號：CVE-2023-23638
- 漏洞類型： 反序列化
- 威脅類型：未知
- 廠 商：未知
- 漏洞來源：深信服
- 發(fā)布時間：2023-03-17
- 更新時間：2023-03-17
漏洞簡介
2023 年 3 月 10 日，深信服安全團(tuán)隊(duì)監(jiān)測到一則 Apache Dubbo 組件存在反序列化漏洞的信息，漏洞編號：CVE-2023-23638，漏洞威脅等級：高危。
該漏洞是由于由于 Dubbo 在序列化時檢查不夠全面，攻擊者可利用該漏洞，構(gòu)造惡意數(shù)據(jù)執(zhí)行反序列化攻擊，最終繞過檢查觸發(fā)反序列化，執(zhí)行任意代碼。
漏洞公示
暫無
參考網(wǎng)站
https://cn.dubbo.apache.org/zh-cn/
受影響實(shí)體
Apache Dubbo 廣泛應(yīng)用于各類Java服務(wù)，是較為流行的 Java RPC 框架。可能受漏洞影響的資產(chǎn)廣泛分布于世界各地。
目前受影響的 Apache Dubbo 版本：
2.7.0≤Dubbo≤2.7.22,
3.0.0≤Dubbo≤3.0.14,
3.1.0≤Dubbo≤3.1.6
補(bǔ)丁
官方修復(fù)建議
當(dāng)前 Apache Dubbo 官方已發(fā)布最新版本，建議受影響的用戶及時更新升級到最新版本。鏈接如下：
https://github.com/apache/dubbo/releases
深信服解決方案
1.風(fēng)險(xiǎn)資產(chǎn)發(fā)現(xiàn)
支持對 Apache Dubbo 反序列化漏洞的主動檢測，可批量檢出業(yè)務(wù)場景中該事件的受影響資產(chǎn)情況，相關(guān)產(chǎn)品如下：
【深信服主機(jī)安全檢測響應(yīng)平臺CWPP】預(yù)計(jì) 2023年3 月13 日發(fā)布資產(chǎn)檢測方案。
2.漏洞主動檢測
支持對 Apache Dubbo 反序列化漏洞的主動檢測，可批量快速檢出業(yè)務(wù)場景中是否存在漏洞風(fēng)險(xiǎn)，相關(guān)產(chǎn)品如下：
【深信服主機(jī)安全檢測響應(yīng)平臺CWPP】預(yù)計(jì) 2023 年 3 月 13 日發(fā)布檢測方案。
【深信服安全托管服務(wù)MSS】預(yù)計(jì) 2023 年 3 月 13 日發(fā)布檢測方案。
【深信服安全檢測與響應(yīng)平臺XDR】預(yù)計(jì) 2023 年 3 月 13 日發(fā)布檢測方案。
