高危 Apache Dubbo 反序列化远程代码执行漏洞（CVE-2023-23638）

CVE编号

CVE-2023-23638

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-03-08
漏洞描述
Dubbo 是一个高性能且优秀的服务框架。在 CVE-2023-23638 中，发现旧版本的 Dubbo 存在反序列化漏洞，攻击者可以在能够访问 Dubbo 服务的情况下，构造恶意请求，触发反序列化并执行任意代码。

影响范围：

Apache Dubbo 2.7.x 受影响的版本包括 2.7.21 及更早版本。
Apache Dubbo 3.0.x 受影响的版本包括 3.0.13 及更早版本。
Apache Dubbo 3.1.x 受影响的版本包括 3.1.5 及更早版本。
解决建议
安全版本：

Apache Dubbo 2.7.x 的安全版本为 2.7.22 或更高版本。
Apache Dubbo 3.0.x 的安全版本为 3.0.14 或更高版本。
Apache Dubbo 3.1.x 的安全版本为 3.1.6 或更高版本。
为了缓解这个漏洞，建议用户尽快升级到安全版本。如果无法立即升级，用户应实施严格的输入验证和监控，以防止处理不可信或恶意数据。还应应用网络隔离和防火墙规则，以限制潜在攻击者对 Dubbo 服务的访问。
参考链接
https://github.com/apache/dubbo/releases
https://lists.apache.org/thread/8h6zscfzj482z512d2v5ft63hdhzm0cb
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 apache dubbo * From
(including)
2.7.0 		Up to
(including)
2.7.21
运行在以下环境
应用 apache dubbo * From
(including)
3.0.0 		Up to
(including)
3.0.13
运行在以下环境
应用 apache dubbo * From
(including)
3.1.0 		Up to
(including)
3.1.5
阿里云评分
8.0
  • 攻击路径
    远程
  • 攻击复杂度
    复杂
  • 权限要求
    无需权限
  • 影响范围
    全局影响
  • EXP成熟度
    未验证
  • 补丁情况
    官方补丁
  • 数据保密性
    数据泄露
  • 数据完整性
    传输被破坏
  • 服务器危害
    服务器失陷
  • 全网数量
    N/A
CWE-ID 漏洞类型
CWE-502 可信数据的反序列化
阿里云安全产品覆盖情况