CVE-2020-1948 | Apache Dubbo Provider默认反序列化远程代码执行误差通告
宣布时间 2020-06-230x00 误差概述
|
CVE ID |
CVE-2020-1948 |
时 间 |
2020-06-23 |
|
类 型 |
RCE |
等 级 |
高危 |
|
远程使用 |
是 |
影响规模 |
Dubbo 2.7.0 - 2.7.6 Dubbo 2.6.0 - 2.6.7 Dubbo 2.5.x （官方不再维护） |
0x01 误差详情
Dubbo 是阿里巴巴公司开源的一款高性能、轻量级Java RPC框架 ，它提供了三大焦点能力:面向接口的远程要领挪用、智能容错和负载平衡,以及自动注册服务。现在已被多家大型企业网络接纳 ，涉及阿里巴巴集团、中国人寿、中国电信、当当网、滴滴出行、海尔和中国工商银行等。
2020年6月23日Apache官方宣布通告 ，修复了一个Apache Dubbo远程代码执行误差（CVE-2020-1948）。该误差源于Apache Dubbo Provider保存反序列化误差 ，攻击者可以发送带有无法识别的服务名或要领名及某些恶意参数负载的RPC请求 ，当恶意参数被反序列化时将导致恶意代码执行。
该误差影响所有使用2.7.6或更低版本的Dubbo用户 ，误差品级为高危 ，尊龙凯官网入口VSRC建议宽大用户举行资产自查 ，实时装置补丁。
0x02 处置惩罚建议
官方已宣布最新版本 ，下载地址：
https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7
升级参考文档：
http://dubbo.apache.org/zh-cn/docs/user/versions/version-270.html
注：为避免泛起意外建议升级前做好数据备份。
0x03 相关新闻
https://meterpreter.org/cve-2020-1948-apache-dubbo-remote-code-execution-vulnerability-alert/
0x04 参考链接
https://lists.apache.org/thread.html/rd4931b5ffc9a2b876431e19a1bffa2b4c14367260a08386a4d461955%40%3Cdev.dubbo.apache.org%3E
0x05 时间线
2020-06-23 Apache官方宣布通告
2020-06-23 VSRC宣布误差通告
京公网安备11010802024551号