严重 Apache Dubbo Provider dubbo协议反序列化漏洞

CVE编号

CVE-2020-1948

利用情况

EXP 已公开

补丁情况

官方补丁

披露时间

2020-07-15
该漏洞EXP已公开传播，漏洞利用成本极低，建议您立即关注并修复。
漏洞描述
Apache Dubbo是一款应用广泛的Java RPC分布式服务框架。Apache Dubbo于2020年6月23日披露在Dubbo Provider中存在一个反序列化远程代码执行漏洞（CVE-2020-1948），攻击者可以构造并发送带有恶意参数负载的RPC请求，当恶意参数被反序列化时将导致远程代码执行。阿里云应急响应中心提醒Apache Dubbo用户尽快采取安全措施阻止漏洞攻击。
解决建议
1. 建议将Dubbo升级至安全版本。下载地址参考 https://github.com/apache/dubbo/releases/tag/dubbo-2.7.7

2. 禁止将Dubbo服务端端口开放给公网，或仅仅只对能够连接至Dubbo服务端的可信消费端IP开放。

3. Dubbo协议默认采用Hessian作为序列化反序列化方式，该反序列化方式存在反序列化漏洞。在不影响业务的情况下，建议更换协议以及反序列化方式。具体更换方法可参考：http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html
参考链接
https://lists.apache.org/thread.html/rbaa41711b3e7a8cd20e9013737423ddd079ddc1...
https://nsfocusglobal.com/apache-dubbo-remote-code-execution-vulnerability-cv...
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 apache dubbo * From
(including)
2.5.0 		Up to
(including)
2.5.10
运行在以下环境
应用 apache dubbo * From
(including)
2.6.0 		Up to
(including)
2.6.7
运行在以下环境
应用 apache dubbo * From
(including)
2.7.0 		Up to
(including)
2.7.6
阿里云评分
9.6
  • 攻击路径
    远程
  • 攻击复杂度
    容易
  • 权限要求
    无需权限
  • 影响范围
    全局影响
  • EXP成熟度
    EXP 已公开
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    服务器失陷
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-502 可信数据的反序列化
阿里云安全产品覆盖情况